りすくぶんせき

リスク分析

情報資産への脅威と脆弱性を洗い出し、リスクの大きさを算出して優先順位を決める活動です。どの対策を優先すべきかを判断するための基盤として、ITパスポート試験等のリスク管理で重要です。

詳しい説明

組織が抱える情報資産に対して、どのような脅威があり、それがどのような影響を及ぼすかを特定し、評価する活動です。リスクを管理するための最初の一歩であり、どこを重点的に守るべきかを明確にするために実施されます。

具体的なプロセスでは、まず情報資産の重要度を洗い出し、次に脅威と脆弱性を特定します。情報資産に潜む脅威の発生確率と、実際に事故が起きた際の影響度を掛け合わせることで、リスクの大きさを定量または定性的に算出します。この数値に基づいて、どのリスクから先に対処すべきかという優先順位が決定されます。

試験では、リスク分析そのものと、その後の対応（リスク対応）を混同しないことが求められます。リスク分析は「評価して優先順位をつけること」までであり、実際にリスクを下げる対策を行うのは次の段階であるリスク対応のフェーズであることを明確に区別してください。