リスク特定

組織の情報資産に対して、どのようなリスクが存在するかを洗い出すプロセス。脅威と脆弱性を把握し、リスクの一覧を作成する。

組織の情報資産に対するリスクを発見、認識、記述するプロセス。リスクアセスメントの最初のステップで、情報資産の洗い出し、脅威・脆弱性の特定を行い、リスク源とその影響を明らかにする。

リスクアセスメントの最初のプロセスで、リスクを発見し、認識し、記述すること。情報資産ごとに脅威と脆弱性、起こり得る事象とその結果を洗い出す。続いてリスク分析、リスク評価を行う。

リスクアセスメントの最初の段階で、情報資産に対する脅威と脆弱性を洗い出し、どのようなリスクが存在するかを一覧化する作業。ここで漏れたリスクは以降の分析・評価の対象にならないため網羅性が重視される。

プロジェクトに影響を与える可能性のあるリスクを特定するプロセス。ブレーンストーミング、デルファイ法、チェックリスト分析、SWOT分析、根本原因分析などの技法を用いる。特定されたリスクはリスク登録簿に記録する。

組織の情報資産に対する脅威と脆弱性を洗い出し、潜在的なリスクを網羅的に特定する活動。リスクアセスメントの最初のステップであり、リスク一覧（リスク登録簿）を作成する。

リスクを発見、認識及び記述するプロセス。リスク源、事象、それらの原因及び起こり得る結果の特定を含む。情報資産の洗い出しと、それらに対する脅威・脆弱性の特定を行う。

組織が保有する情報資産を洗い出して一覧にした台帳。資産ごとに名称、管理責任者、保管場所、利用者の範囲、機密性・完全性・可用性から見た重要度などを記録し、リスクアセスメントや管理策の検討の基礎とする。

リスクの重大性を評価するための判断の基準。JIS Q 27001では情報セキュリティリスクアセスメントの前に確立することを求めており、リスクを受容するかを決めるリスク受容基準と、アセスメントを一貫した方法で繰り返し実施するための基準（発生可能性や影響の尺度など）から成る。

リスクアセスメントのプロセスの一つで、特定したリスクについて、起こり得る結果（影響の大きさ）と発生の可能性を見積もり、リスクレベルを決定すること。手法には、金額などの数値で表す定量的分析と、高・中・低などの段階で表す定性的分析がある。

リスクアセスメントの最後のプロセスで、リスク分析の結果をリスク基準と比較して、リスクを受容するか対応が必要かを判断し、対応の優先順位を決めること。英語ではrisk evaluationで、特定・分析・評価の全体を指すリスクアセスメント（risk assessment）とは区別する。

特定したリスクごとに、内容、原因、発生可能性、影響度、リスクレベル、対応策、リスク所有者、対応の状況などを記録して一元管理する文書。情報セキュリティのリスク管理やプロジェクトマネジメントで使い、状況の変化に合わせて継続的に更新する。

情報を、機密性・完全性・可用性の観点での重要度や、法令・利害関係者の要求に基づいて、「極秘」「社外秘」「公開」などの区分に分けること。区分ごとに保管、持出し、複製、廃棄などの取扱いのルールを定め、重要度に見合った保護を行う。