セキュリティ・法務・リスクマネジメント
午前II午後I午後II論文
重要度:
リスクアセスメント（特定・分析・評価）
よみがな: りすくあせすめんと
英語名称・略称: Risk Assessment (Identification, Analysis, Evaluation)
1行要約（本質）
企業が直面するリスクを「特定（洗出し）」「分析（影響度・発生確率の算定）」「評価（優先順位付け）」する一連の体系的プロセス。
3つの重要ポイント
1
リスクアセスメントの結果に基づき、「リスク回避」「リスク低減（軽減）」「リスク移転（共有）」「リスク保有（受容）」の4対応を選択する。
2
すべてのリスクに完璧な対策を打つ予算はないため、リスク受容水準（クライテリア）を設定して優先投資する。
3
ITストラテジストは、定量的・定性的なリスク評価手法を用いて、費用対効果の高いセキュリティ投資計画を立案する。
構造・プロセスの図解
図リスクアセスメントからリスク対応へのプロセス
洗出しから4大リスク対応戦略の決定まで11. リスク特定
脅威・脆弱性の抽出
情報資産に対する不正侵入、情報漏えい、自然災害を網羅抽出。
22. リスク分析
影響度 × 発生確率
損害額の規模と発生頻度を算定し、リスクの大きさをスコア化。
33. リスク評価
受容基準との照合
許容限度を超えるリスクを特定し、対策の優先順位を決定。
44. リスク対応
4つの戦略選択
低減（暗号化）・回避（事業中止）・移転（保険）・保有（許容）。
概要・背景・本質
リスクアセスメント（JIS Q 31000 / ISO 31000準拠）は、漠然とした不安を客観的な数値・指標に落とし込み、経営陣が納得して対策費用を承認できるようにするための科学的プロセスです。リスク＝「脅威の大きさ × 脆弱性の度合い × 資産価値」として算定されます。
コア概念と着眼点
- リスク特定（Identification）：何が、いつ、どこで、なぜ、どのようにして起きる可能性があるかを網羅的に抽出
- リスク分析（Analysis）：発生頻度（Likelihood）と影響度（Impact）を算定し、リスクレベルを決定
- リスク評価（Evaluation）：事前に定めた「リスク受容水準（基準値）」と比較し、対策を講じる優先順位を判定
- リスク対応の4類型：低減（システム導入）、回避（事業撤退・機能廃止）、移転（保険加入・外部委託）、保有（受容して監視）
ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント
午前II・午後I記述で「リスクアセスメントの3ステップの順序」「リスク対応4類型の具体例（サイバー保険加入はリスク移転、ファイアウォール導入はリスク低減）」が必ず出題される。確実に満点を取れるようにしておくこと。