【情報セキュリティマネジメント】リスクアセスメントの全体像、分かれ目は「見つける・測る・比べる」｜リスク特定・リスク分析・リスク評価・リスク基準

2026.08.27

リスク特定、リスク分析、リスク評価は、名前が似ていますが作業が異なります。

特に混同しやすいのが、発生可能性や影響を見積もるリスク分析と、その結果を組織の基準と比較するリスク評価です。

この記事では、リスクアセスメントを見つける・大きさを把握する・基準と比べるの三段階で整理します。

読み終えるころには、事例の作業がどの段階のものかを動詞から見分けられ、段階を飛ばした判断になっていないかを確認できるようになります。

先に結論：特定は見つける、分析は大きさを把握する、評価は比べる

段階 中心となる作業 問題文の手掛かり
リスク特定 起こり得るリスクを明らかにする 洗い出す、列挙する、脅威・脆弱性を確認する
リスク分析 発生可能性や結果からリスクの大きさを把握する 見積もる、算定する、影響度、起こりやすさ
リスク評価 分析結果をリスク基準と比較する 基準と比べる、受容できるか、優先順位を決める

リスクの大きさを把握しているなら分析、把握した結果を基準と比較しているなら評価です。

1．リスクアセスメントはリスクマネジメントの一部

リスクマネジメントは、リスクを継続的に管理する全体の活動です。

その中で、リスクを特定・分析・評価する一連のプロセスがリスクアセスメントです。その後、必要なリスク対応を決め、実施し、監視・見直しへつなげます。

情報資産と重要度の把握
→ リスク特定
→ リスク分析
→ リスク評価
→ リスク対応
→ 監視・見直し

SGの教材体系では、情報資産の重要度評価はリスクアセスメントへ入る前提作業として分けて整理します。

2．リスク特定：何が起こり得るかを明らかにする

リスク特定では、対象となる業務や情報資産について、どのような事象が起こり得るか、その原因や影響先は何かを確認します。

この段階では、まだリスクの大きさや対応の優先順位を決めません。

リスク源・脅威・脆弱性

用語 捉え方 例
リスク源 単独又は他の要因と組み合わさってリスクを生じさせるもと 攻撃者、従業者、設備、委託先、自然現象、外部環境
脅威 情報資産へ望ましくない事象を生じさせる可能性があるもの サイバー攻撃、誤操作、故障、火災、停電
脆弱性 脅威によって利用され得る弱点 未更新ソフトウェア、過大な権限、手順・監視の不備

リスク源を攻撃者だけに限定すると、誤操作、設備故障、災害、委託先の不備などを見落とします。

四つの側面から要因を確認する

現行SGシラバスの「要求される技能」では、脅威・脆弱性・資産の価値を次の側面から分析することが求められています。

  • 組織的な要因：責任、規程、手順、委託管理など
  • 人的な要因：誤操作、知識不足、不正、要員、属人化など
  • 物理的な要因：侵入、盗難、火災、停電、設備など
  • 技術的な要因：ソフトウェアの脆弱性、設定、認証、監視など

同じ「組織的・人的・物理的・技術的」という名称は管理策の分類でも使われますが、ここではリスクを生じさせる要因を見ています。管理策の分類との違いは「管理策の3つの軸を整理する」の記事で扱います。

主なリスクの種類

リスクの種類 典型的な場面
オペレーショナルリスク 業務手順、人為的ミス、システム障害などによる業務上の損失
サプライチェーンリスク 委託先、供給元、ソフトウェア部品、更新経路などを通じた影響
外部サービス利用のリスク サービス障害・終了、再委託、責任分界、データ所在地、集中依存など
地政学的リスク 国際的な対立、制裁、規制、供給・通信の混乱などによる影響
モラルハザード 保険や契約等による損失負担の変化が、予防行動を弱める可能性

SGシラバスVer.4.1には、これらの用語がリスクの種類として明示されています。特に地政学的リスクは、現在の脅威動向とも結び付けて理解します。

あわせて、何が失われるかで分ける見方として、財産損失・責任損失・純収益の喪失・人的損失も用語例に挙げられています。

3．リスク分析：発生可能性と結果から大きさを把握する

リスク分析では、特定したリスクについて、事象の起こりやすさと起きた場合の結果を定量的又は定性的に把握します。

情報資産の価値、脅威、脆弱性、既存の管理策なども考慮し、組織が定めた方法でリスクの大きさを求めます。

分析結果は、点数、金額、高・中・低などのリスクレベルとして表す場合があります。

「発生可能性と影響を見積もる」ならリスク分析です。

リスクマトリックス、年間予想損失額、定性的・定量的分析などの具体的な算定方法は「リスクの分析手法」の記事で扱います。

4．リスク評価：リスク基準と比較する

リスク評価では、分析で把握したリスクレベルを、組織が定めたリスク基準と比較します。

比較によって、例えば次を判断します。

  • 追加の対応が必要か
  • 現時点で受容できるか
  • どのリスクを優先するか
  • 追加分析が必要か

JIS Q 27001では、情報セキュリティリスクアセスメントのプロセスを定める中で、リスク受容基準と、リスクアセスメントを実施するための基準を確立・維持することが求められます。

したがって、評価結果を見て都合よく基準を変えるのではなく、アセスメントへ一貫して適用できる基準をあらかじめ定めておくことが重要です。事業環境や法令などが変化した場合は、正式な手続に従って基準を見直します。

5．情報資産の重要度評価とリスク評価を分ける

作業 評価する対象
情報資産の重要度評価 情報資産が漏えい・改ざん・利用不能になった場合の影響
リスク評価 分析によって把握したリスクレベル

CIAから資産の価値を判定しているなら情報資産の重要度評価です。

一方、リスクレベルをリスク基準と比較し、対応の必要性などを判断しているならリスク評価です。

重要度をCIAから評価する具体的方法は「機密区分と重要度評価」の記事で扱います。

6．変化があれば再評価する

リスクアセスメントは、一度実施して終わりではありません。

現行SGシラバスでは、新種の脅威、情報システムの変更、組織の変更に伴う新たなリスクについても、特定して評価できることが求められています。

例えば、

  • 新しいシステム・クラウドサービスを導入した
  • 事業統合・組織再編を行った
  • 委託先・契約条件が変わった
  • 新しい脅威・脆弱性が判明した
  • インシデントが発生した
  • 法令・国際情勢・事業環境が変化した

といった場合には、必要な再評価を行います。

リスク集約

個々のリスクを別々に見るだけでは、全体としての影響を見誤ることがあります。

複数のリスクをまとめて捉え、共通の委託先やシステムへの依存、同時発生、累積的な影響などを確認することが、リスク集約を理解する手掛かりになります。

「一件ずつなら小さいから問題ない」と決めず、複数のリスクを合わせて見た場合の影響も確認します。

7．科目Bでの使われ方

科目Bでは、用語の定義ではなく、その作業がどの段階のものかを動詞から見分ける形で使われます。

  • 脅威・脆弱性を洗い出す

→ リスク特定

  • 発生可能性・影響を見積もる

→ リスク分析

  • リスク基準と比較する

→ リスク評価

  • 回避・低減・共有・保有などを選ぶ

→ リスク対応

まだ分析中なのに対策を決定する、基準と比較していないのに受容可能と判断するといった選択肢は、段階を飛ばしている可能性があります。

担当者としては、いま行っているのがどの段階かを確認し、次の段階へ進む前提がそろっているかを見ます。リスク基準に照らして判断が必要な事項や、基準そのものの見直しが必要と気づいた場合は、独断で決めず、リスク所有者や上位者へ報告して指示を仰ぎます。

よくある取り違え

誤った理解 正しい整理
脅威・脆弱性を挙げる作業がリスク分析 洗出しはリスク特定
発生可能性と影響を見積もる作業がリスク評価 大きさの把握はリスク分析
リスクレベルを算定すれば対応要否も決まる リスク基準との比較が必要
CIAで資産を評価することがリスク評価 対象が情報資産なら重要度評価
リスク源は外部攻撃者だけ 人、設備、委託先、自然現象、外部環境も考える
四つの側面は管理策だけの分類 リスク要因を見る際にも使われる
契約や保険があれば元のリスクは消える リスクの一部を共有しても元のリスク管理は必要
前回の評価結果をそのまま使い続ける 脅威・システム・組織等の変化を踏まえて再評価する
一件ごとのリスクが小さければ集約不要 複数を合わせた全体影響も確認する

まとめ

  • リスクアセスメントは、リスク特定・リスク分析・リスク評価の三段階
  • 特定はリスクを明らかにし、分析は大きさを把握し、評価は基準と比較する
  • リスク源は攻撃者だけでなく、人、設備、委託先、自然現象、外部環境なども含み得る
  • SGでは組織的・人的・物理的・技術的な側面から脅威・脆弱性・資産価値を分析する
  • リスクの種類にはオペレーショナル、サプライチェーン、外部サービス利用、地政学的リスクなどがある
  • リスク分析では発生可能性と結果などからリスクレベルを把握する
  • リスク評価ではリスク基準と比較して対応の必要性・優先順位などを判断する
  • 情報資産の重要度評価とリスク評価は対象が異なる
  • 新たな脅威やシステム・組織の変更時には再評価する
  • 複数リスクは集約して全体影響も確認する

関連記事

  • C3-T04：管理策の3つの軸を整理する
  • C3-T05：ISMSのPDCAと運用
  • C4-T01：情報資産の洗出しと台帳
  • C4-T02：機密区分と重要度評価
  • C4-T04：リスクの分析手法
  • C4-T05：リスク対応の4分類
  • C4-T06：残留リスクとリスク受容
  • C4-T07：リスク対応計画と管理
  • C7-T01：委託先の選定と事前調査

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • 日本規格協会「JIS Q 27001:2023」
  • ISO「ISO/IEC 27005:2022 Guidance on managing information security risks」
  • 日本規格協会「JIS Q 31000:2019 リスクマネジメント―指針」
  • IPA「情報セキュリティ10大脅威 2026」

関連する問題

コメント

タイトルとURLをコピーしました