リスクアセスメント

リスクアセスメントとは、対象とする活動や資産において、どのようなリスクが存在するかを特定し、その影響度と発生確率を分析して評価する一連のプロセスです。リスクマネジメントの最初のステップであり、どのような対策を打つべきかの優先順位を決めるために不可欠です。

仕組みとしては、まず「資産」「脅威」「脆弱性」を洗い出し、リスクの大きさを算出します。資産が攻撃者に狙われる可能性がどの程度あり、もし被害が出たらどの程度の損害になるかを定量的、あるいは定性的に評価します。この結果に基づき、許容できないリスクに対してのみ、コストをかけて対策を講じるという意思決定を行います。

試験では、リスクアセスメントのあとに「リスク対応」が続くという順序が重要です。アセスメントはあくまで評価であり、対策そのものではない点を混同しないようにしてください。アセスメントを省いていきなり対策を講じると、過剰な投資になったり、重要なリスクを見落としたりするため、このステップを経ることが適切とされます。