FEセキュリティ · 情報セキュリティ管理

リスクレベル

Level of Risk

りすくれべる

事象の起こりやすさと、起きた場合の結果（影響の大きさ）の組合せで表したリスクの大きさ。リスク分析で決定し、リスク評価でリスク基準と比べて、どのリスクから対応するかを判断する。リスクマトリックスで「高・中・低」などに区分して示すことが多い。

共有:

他の資格での定義

リスクの大きさを、結果の重大さと発生の可能性の組合せで表したもの。あらかじめ定めた基準（リスク受容基準）と照らして、対応の要否と優先順位を決める。

リスクの結果の大きさと、その起こりやすさの組合せで表されるリスクの大きさ。リスク分析で算定し、あらかじめ定めたリスク受容基準と照らして対応の要否と優先順位を決める。

リスクの起こりやすさと結果の重大さを組み合わせて決まる、そのリスクの大きさ。リスクマトリックスなどで算定し、リスク受容基準と比較して対応の要否と優先順位を決める。

Past Exams

過去問で 10 回出題（情報セキュリティマネジメント試験 5・システム監査技術者試験 2・ITパスポート試験 1・基本情報技術者試験 1・応用情報技術者試験 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

リスクの発生確率と、発生したときの影響度を、高・中・低などの段階で評価し、対応の優先順位を付ける技法。確率・影響度マトリックスなどを用い、数値化が難しい場合でも短時間で多くのリスクを評価できる。

リスクがプロジェクトの目標に与える影響を数値で分析する技法。期待金額価値（EMV）の算出、感度分析、デシジョンツリー分析、モンテカルロシミュレーションなどを用い、コストや期間がどの程度ばらつくかを確率的に見積もる。

リスクアセスメントの最初のプロセスで、リスクを発見し、認識し、記述すること。情報資産ごとに脅威と脆弱性、起こり得る事象とその結果を洗い出す。続いてリスク分析、リスク評価を行う。

乱数を使って多数回の試行（シミュレーション）を行い、その結果の分布から、解析的に解くのが難しい問題の近似解や確率を求める手法。プロジェクトの所要期間やコストの見積り、投資のリスク評価、在庫や待ち行列の分析などに使い、試行回数を増やすほど結果の精度が高まる。

リスクの発生可能性と影響の大きさを、「高・中・低」などの段階や点数で評価し、その組合せでリスクの大きさや優先順位を決める分析の方法。少ない労力で全体を見渡せるが、評価者の主観が入りやすい。発生確率・影響度マトリックスを使うのが一般的で、プロジェクトのリスク管理でも用いる。

リスクの発生確率と、発生したときの損失額などを数値で見積もり、年間予想損失額（発生頻度×1回当たりの損失額）や期待金額価値などでリスクの大きさを表す分析の方法。対策の費用対効果を比べやすいが、正確な数値を得るためのデータの収集に手間がかかる。モンテカルロシミュレーションなどの技法もある。