リスク特定

組織の情報資産に対して、どのようなリスクが存在するかを洗い出すプロセス。脅威と脆弱性を把握し、リスクの一覧を作成する。

組織の情報資産に対するリスクを発見、認識、記述するプロセス。リスクアセスメントの最初のステップで、情報資産の洗い出し、脅威・脆弱性の特定を行い、リスク源とその影響を明らかにする。

リスクアセスメントの最初の段階で、情報資産に対する脅威と脆弱性を洗い出し、どのようなリスクが存在するかを一覧化する作業。ここで漏れたリスクは以降の分析・評価の対象にならないため網羅性が重視される。

プロジェクトに影響を与える可能性のあるリスクを特定するプロセス。ブレーンストーミング、デルファイ法、チェックリスト分析、SWOT分析、根本原因分析などの技法を用いる。特定されたリスクはリスク登録簿に記録する。

組織の情報資産に対する脅威と脆弱性を洗い出し、潜在的なリスクを網羅的に特定する活動。リスクアセスメントの最初のステップであり、リスク一覧（リスク登録簿）を作成する。

リスクを発見、認識及び記述するプロセス。リスク源、事象、それらの原因及び起こり得る結果の特定を含む。情報資産の洗い出しと、それらに対する脅威・脆弱性の特定を行う。

リスクアセスメントの最初のプロセスで、リスクを発見し、認識し、記述すること。情報セキュリティでは、機密性・完全性・可用性の喪失につながるリスクを、情報資産、脅威、脆弱性、リスク所有者などの観点から洗い出す。

リスク特定、リスク分析、リスク評価を行うプロセス全体。情報セキュリティでは、情報資産に対する脅威と脆弱性からリスクを洗い出し、その大きさを見積もってリスク基準と比べ、対応が必要なリスクとその優先順位を決める。結果に基づいてリスク対応の計画を立てる。

リスクの発生確率と、発生したときの影響度を、高・中・低などの段階で評価し、対応の優先順位を付ける技法。確率・影響度マトリックスなどを用い、数値化が難しい場合でも短時間で多くのリスクを評価できる。

リスクがプロジェクトの目標に与える影響を数値で分析する技法。期待金額価値（EMV）の算出、感度分析、デシジョンツリー分析、モンテカルロシミュレーションなどを用い、コストや期間がどの程度ばらつくかを確率的に見積もる。

組織が保有する情報資産を洗い出して一覧にした台帳。資産ごとに名称、管理責任者、保管場所、利用者の範囲、機密性・完全性・可用性から見た重要度などを記録し、リスクアセスメントや管理策の検討の基礎とする。

リスクの重大性を評価するための目安とする条件（JIS Q 31000）。リスクの大きさをどう算定するか、どのレベルなら受容できるか（リスク受容基準）などを、組織の目的や法令・契約上の要求を踏まえて、リスクアセスメントの前に決めておく。

事象の起こりやすさと、起きた場合の結果（影響の大きさ）の組合せで表したリスクの大きさ。リスク分析で決定し、リスク評価でリスク基準と比べて、どのリスクから対応するかを判断する。リスクマトリックスで「高・中・低」などに区分して示すことが多い。