セキュリティ・法務・リスクマネジメント 重要度:★★★出題: AM2・PM1・PM2
リスクアセスメント（特定・分析・評価）
りすくあせすめんと / Risk Assessment (Identification, Analysis, Evaluation)
企業が直面するリスクを「特定（洗出し）」「分析（影響度・発生確率の算定）」「評価（優先順位付け）」する一連の体系的プロセス。
3行速習ポイント
- リスクアセスメントの結果に基づき、「リスク回避」「リスク低減（軽減）」「リスク移転（共有）」「リスク保有（受容）」の4対応を選択する。
- すべてのリスクに完璧な対策を打つ予算はないため、リスク受容水準（クライテリア）を設定して優先投資する。
- ITストラテジストは、定量的・定性的なリスク評価手法を用いて、費用対効果の高いセキュリティ投資計画を立案する。
図解
図リスクアセスメントからリスク対応へのプロセスプロセス・手順フロー
洗出しから4大リスク対応戦略の決定まで▶ 進行順序：1. 洗出し➔2. 算定➔3. 優先度➔4. 実行
11. リスク特定
洗出し脅威・脆弱性の抽出
守るべき情報資産と業務プロセスを洗い出し、それらに対してどのような脅威（サイバー攻撃、内部不正、災害）と脆弱性が存在するかを漏れなく特定する。
22. リスク分析
算定影響度 × 発生確率
特定した各リスクについて、顕在化した際の事業への損害規模（影響度）と起こりやすさ（発生確率）を過去実績や脅威動向から分析し、リスク値を算定する。
33. リスク評価
優先度受容基準との照合
算定したリスク値を経営陣が定めた「リスク受容基準」と照合し、許容範囲を超える重大リスクを抽出して対策リソースを投じる優先順位を決定する。
44. リスク対応
実行4つの戦略選択
優先度と費用対効果に基づき、セキュリティ導入による「低減」、事業・機能廃止による「回避」、保険・外部委託による「移転」、監視下での「保有」を選択・実行する。
💡 午前II・午後Iでは特定➔分析➔評価の手順と4対応（低減・回避・移転・保有）が頻出。午後IIでは全リスクをゼロにするのではなく、受容基準に基づき投資を重点配分する。
概要と本質
リスクアセスメント（JIS Q 31000 / ISO 31000準拠）は、漠然とした不安を客観的な数値・指標に落とし込み、経営陣が納得して対策費用を承認できるようにするための科学的プロセスです。リスク＝「脅威の大きさ × 脆弱性の度合い × 資産価値」として算定されます。
重要ポイント・コア概念
- リスク特定（Identification）：何が、いつ、どこで、なぜ、どのようにして起きる可能性があるかを網羅的に抽出
- リスク分析（Analysis）：発生頻度（Likelihood）と影響度（Impact）を算定し、リスクレベルを決定
- リスク評価（Evaluation）：事前に定めた「リスク受容水準（基準値）」と比較し、対策を講じる優先順位を判定
- リスク対応の4類型：低減（システム導入）、回避（事業撤退・機能廃止）、移転（保険加入・外部委託）、保有（受容して監視）
試験対策・午後II論文での活用法
午前II・午後I記述で「リスクアセスメントの3ステップの順序」「リスク対応4類型の具体例（サイバー保険加入はリスク移転、ファイアウォール導入はリスク低減）」が必ず出題される。確実に満点を取れるようにしておくこと。
小論文で使える実践フレーズ・キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着ITストラテジスト 過去問演習で実践力を鍛える
