非形式的アプローチとは？

非形式的アプローチとは、担当者やコンサルタントの経験と判断に頼ってリスクを洗い出す進め方。決まった手順書や評価表を使わないため短時間で終わり、費用も小さい。小規模な組織や、まず全体像をつかみたい初期段階で使われるが、正式なリスク分析手法の中では最も簡易な位置付けとされる。

情報セキュリティマネジメント試験の過去問では1回出題されています。

ひけいしきてきあぷろーち

情報セキュリティマネジメント試験の頻出用語／テクノロジ系

非形式的アプローチの意味

担当者やコンサルタントの経験と判断に頼ってリスクを洗い出す進め方。決まった手順書や評価表を使わないため短時間で終わり、費用も小さい。小規模な組織や、まず全体像をつかみたい初期段階で使われるが、正式なリスク分析手法の中では最も簡易な位置付けとされる。

社員30名の会社で、情報システムを兼任している総務課長が「うちで危ないのは、退職者のメールアカウントと、共有フォルダの権限がずっと見直されていないところ」と経験から挙げ、その場で優先対応を決める。

属人的なので、担当者が代わると結論が変わり、見落としがあっても検証できない。安く速いのは事実だが「精度が高い」わけではなく、そこが体系的な手法との決定的な差になる。

情報セキュリティ対策を検討する際の手法の一つであるベースラインアプローチの特徴はどれか。
正解：基準とする望ましい対策と組織の現状における対策とのギャップを分析する。
要点：ベースラインアプローチは基準と現状のギャップ分析
ベースラインアプローチは、規格やガイドラインなどから「守るべき最低限の基準（ベースライン）」をあらかじめ定め、自組織の現状がその基準を満たしているかを照合して不足分を対策する手法である。資産ごとの詳細な評価をしないため簡便で網羅性も確保しやすいが、組織固有の事情を反映しにくいという短所がある。詳細リスク分析、非形式的アプローチ、組合せアプローチと区別して覚えたい。
出典：平成28年度秋期情報セキュリティマネジメント試験午前問6（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。