リスク分析の計算では、数字が複数出てくると「何を掛けるのか」「何を引くのか」を混同しやすくなります。
式だけを暗記するのではなく、何を求めているか、各数値が何を表すか、答えの単位は何かを確認することが重要です。
この記事では、分析方法の違いを整理した上で、SGの対応問題で重要な計算をリスク得点・年間予想損失額・対策の単純な正味効果の三つに分けます。
読み終えるころには、設問がどの型の計算を求めているかを見分け、答えの単位が点か円か円／年かを自分で確かめられるようになります。
先に結論：目的・計算規則・単位を確認する
| 求めるもの | 計算例 | 答えの意味・単位 |
|---|---|---|
| リスク得点 | 発生可能性 × 影響度など | 問題で定めた尺度上の点数・区分 |
| 年間予想損失額 | 1回当たりの予想損失額 × 年間発生頻度 | 円／年 |
| 対策の単純な正味効果 | 年間損失低減額 − 年間対策費用 | 円／年 |
最初に、問題が得点・年間損失・対策効果のどれを求めているかを確認します。
1．リスク分析には複数のアプローチがある
IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、一般的なリスク分析方法として次の四つを紹介しています。
| 方法 | 基本的な考え方 | 主な注意点 |
|---|---|---|
| ベースラインアプローチ | 既存の標準・基準を参照して対策を検討する | 個別資産の固有リスクを捉えにくい場合がある |
| 非形式的アプローチ | 組織・担当者・専門家の経験や判断を利用する | 属人的な偏りや見落としが生じ得る |
| 資産ベースのリスク分析 | 情報資産ごとに資産価値・脅威・脆弱性を識別する | 個別に分析できるが手間がかかる |
| 組合せアプローチ | 複数の方法を併用する | どの範囲へどの方法を使うか明確にする |
組合せアプローチに固定された一つの組合せがあるわけではありません。IPA第4.0版では、ベースラインアプローチと非形式的アプローチの組合せを、よく用いられる例として示しています。
「詳細リスク分析」と「資産ベースのリスク分析」
本教材の対応問題には詳細リスク分析という語が登場します。
現行の中小企業向けガイドライン第4.0版では第三の方法を「資産ベースのリスク分析」と呼んでいます。一方、IPAの「制御システムのセキュリティリスク分析ガイド 第2版（2026年4月版）」では、資産ベースのリスク分析と事業被害ベースのリスク分析を、二つの詳細リスク分析手法として説明しています。
したがって、試験対策では「詳細リスク分析＝資産・脅威・脆弱性などを個別に詳しく分析する考え方」と理解しつつ、「詳細リスク分析」と「資産ベースのリスク分析」を常に完全な同義語とは扱わないようにします。
なお、ベースラインアプローチ、非形式的アプローチ、詳細リスク分析、組合せアプローチという四名称は、SGシラバスVer.4.1の用語例には直接明示されていません。本記事では、対応問題と現行IPAガイドラインを理解するための補助論点として扱います。
2．定性的分析と定量的分析を区別する
SGシラバスVer.4.1には、リスクの定性的分析とリスクの定量的分析が明示されています。
定性的分析
定性的分析では、発生可能性や影響を「高・中・低」「重大・中程度・軽微」などの段階で表します。
担当者の感覚だけで決めるのではなく、各段階の意味を定め、共通の尺度で比較できるようにします。
数値を使えば自動的に定量分析になるわけではない
発生可能性や影響度を1～5の順位尺度で表し、得点を計算する方法もあります。
このような点数は、通常は金額や客観的な確率そのものではありません。数値を使っていても、元の評価が「高・中・低」に相当する段階評価であれば、精密な金銭評価とは区別して考えます。
定量的分析
定量的分析では、金額、発生頻度、確率、停止時間など、数量として扱える値を用います。
ただし、計算式が正しくても、損失額や発生頻度などの入力値が不適切なら結果も適切にはなりません。
定性的に全体の優先順位を確認し、重要なリスクを定量的に詳しく分析するなど、複数の方法を組み合わせることもできます。
3．型1：リスクマトリックスと得点法
SGシラバスVer.4.1には、リスクマトリックスと得点法が明示されています。
リスクマトリックスでは、発生可能性と影響度などを組み合わせ、リスクレベルや優先順位を整理します。
例えば、問題文で次の条件が与えられたとします。
発生可能性と影響度をそれぞれ1～5で評価し、両者の積が15以上なら「重大」とする。
発生可能性4、影響度4の場合を判定する。
この問題では「積」と指定されているので、
4 × 4 ＝ 16点
16点は15点以上なので 重大
と判断します。
16点は16円や16％ではありません。問題で定めた尺度上の得点です。
掛け算は万能な公式ではない
リスクマトリックスには、積を使うもの、表の交点で区分するもの、特定の条件を優先するものなどがあります。
また、IPA第4.0版の資産ベースの分析例では、同ガイド独自の方法として、
リスク値 ＝ 重要度 × 被害発生可能性
を使用し、被害発生可能性を脅威と脆弱性から算定しています。
したがって、「リスクは必ず発生可能性×影響度」と固定して覚えず、設問や組織が定めた計算規則を確認することが重要です。
4．型2：年間予想損失額
SGシラバスVer.4.1には年間予想損失額が明示されています。
本教材の対応問題では、基本形として次を使います。
年間予想損失額 ＝ 1回当たりの予想損失額 × 年間発生頻度
1回の障害で300万円の損失が見込まれ、年間発生頻度が0.2回／年なら、
300万円／回 × 0.2回／年 ＝ 60万円／年
です。
「0.2回／年」は長期的な平均・予測として扱う頻度であり、「必ず5年ごとに1回起きる」と保証するものではありません。
計算では、損失額に何を含めているか、発生頻度の根拠は何か、金額化しにくい影響が抜けていないかも確認します。損失額に算入するコスト要因（直接の被害額、復旧費用、業務停止による損失、対応にかかる人件費など）は、組織の定義や設問の条件に従います。
5．型3：対策の単純な正味効果
対策前後の年間予想損失額と年間対策費用が与えられた問題では、二段階で計算します。
年間損失低減額 ＝ 対策前の年間予想損失額 − 対策後の年間予想損失額
年間の単純な正味効果 ＝ 年間損失低減額 − 年間対策費用
例えば、
- 対策前：200万円／年
- 対策後：50万円／年
- 年間対策費用：80万円／年
なら、
年間損失低減額：200 − 50 ＝ 150万円／年
単純な正味効果：150 − 80 ＝ 70万円／年
です。
対策後の50万円は「減らせた額」ではなく、対策後にも残る損失見込みです。
費用対効果だけで対策採否を決めない
正味効果がプラスでも、それだけで採用が確定するわけではありません。
反対に金銭的な正味効果がマイナスでも、法令・契約、安全、顧客への重大な影響、事業継続などから対策が必要な場合があります。
本記事では計算方法までを扱い、リスクの大きさ、法令、費用、実施可能性などを踏まえてどの管理策を選ぶかは「リスク対応の4分類」の記事で扱います。
6．科目Bでの使われ方
科目Bでは、計算そのものより、数字が何を表しているかを取り違えていないかが問われます。計算を始める前に、各数値が何を意味するか確認します。
- 1回当たりか、1年間の値か
- 対策前か、対策後か
- 残る損失か、減らせる損失か
- 得点か、金額か、発生頻度か
- 判定に使う基準は何か
「リスク得点16」と分かっても、重大かどうかは判定基準を確認するまで決まりません。
担当者としては、計算結果をそのまま結論にせず、入力値の根拠と、金額化しにくい影響が抜けていないかを確認します。正味効果がマイナスでも法令・契約・安全上の理由で対策が必要と考えられる場合は、独断で見送らず、リスク所有者や上位者へ報告して指示を仰ぎます。
よくある計算・判断ミス
| 誤った処理 | 生じる誤答 | 確認すること |
|---|---|---|
| 積を指定された問題で4＋4とする | 8点 | 問題の計算規則 |
| 年間発生頻度を掛けない | 300万円 | 単位を円／年にする |
| 対策後の50万円を低減額とする | 50万円 | 低減額は対策前後の差 |
| 損失低減額から費用を引かない | 150万円 | 求めるのが低減額か正味効果か |
| 得点を損失額と考える | 16万円など | 得点と金額を区別する |
| 数値なら正確だと考える | 前提を確認しない | 入力値の根拠・不確実性を見る |
| 正味効果がマイナスなら必ず不採用 | 法令等を無視する | 金銭以外の判断条件も確認する |
まとめ
- SGシラバスは、年間予想損失額、得点法、リスクマトリックス、定性的分析、定量的分析などを明示している
- IPA第4.0版は、ベースライン・非形式的・資産ベース・組合せの四つのリスク分析方法を紹介している
- 四アプローチ名はSG Ver.4.1の用語例に直接は明示されていない
- 詳細リスク分析と資産ベースのリスク分析は関連が深いが、常に完全な同義語とは扱わない
- 定性的分析も共通の尺度・基準に基づいて行う
- 得点やマトリックスの数値を精密な損失額と考えない
- リスク得点の計算方法・判定基準は設問又は組織の方法に従う
- 年間予想損失額は、対応問題では1回当たりの予想損失額と年間発生頻度から求める
- 対策の単純な正味効果は、損失低減額から年間対策費用を差し引く
- 費用対効果は管理策選定の材料の一つであり、それだけで採否を決めない
関連記事
- C4-T01：情報資産の洗出しと台帳
- C4-T02：機密区分と重要度評価
- C4-T03：リスクアセスメントの全体像
- C4-T05：リスク対応の4分類
- C4-T06：残留リスクとリスク受容
- C4-T07：リスク対応計画と管理
本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。
参考資料
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
- IPA「制御システムのセキュリティリスク分析ガイド 第2版（2026年4月版）」
関連する問題
- 情報セキュリティマネジメント 情報資産・リスクマネジメント 択一式（応用） 第11問〜第15問
- 情報セキュリティマネジメント 情報資産・リスクマネジメント 択一式（応用） 第16問〜第20問
- 情報セキュリティマネジメント 情報資産・リスクマネジメント 一問一答 第11問〜第15問
- 情報セキュリティマネジメント 情報資産・リスクマネジメント 一問一答 第16問〜第20問
- 情報セキュリティマネジメント 情報資産・リスクマネジメント 一問一答 第21問〜第25問
コメント