データベーススペシャリスト試験 2009年午前2 問17

情報システムのリスク分析に関する記述のうち, 適切なものはどれか。

ア：リスクには, 投機的リスクと純粋リスクとがある。情報セキュリティのためのリスク分析で対象とするのは、投機的リスクである。

イ：リスクの予想損失額は, 損害予防のために投入されるコスト, 復旧に要するコスト, 及びほかの手段で業務を継続するための代替コストの合計で表される。

ウ：リスク分析では、現実に発生すれば損失をもたらすリスクが, 情報システムのどこに, どのように潜在しているかを識別し, その影響の大きさを測定する。（正解）

エ：リスクを金額で測定するリスク評価額は, 損害が現実のものになった場合の1回当たりの平均予想損失額で表される。

解説

選択肢ウは、リスク分析の本質を正しく表現しています。リスク分析とは、情報システムに潜在するリスクを「どこに」「どのように」存在するかを識別し、そのリスクが発生した場合の影響度を測定するプロセスです。これにより、リスクの優先順位付けや対策の検討が可能になります。

リスク分析で対象とするのは「投機的リスク」ではなく、主に「純粋リスク」であることが多いです。また、リスクの予想損失額は単にコストの合計ではなく、発生確率と損失額の積で評価します。

リスク分析はリスクマネジメントの第一歩であり、リスクの識別・評価・対応策の策定に役立ちます。情報システムのリスクは技術的要因だけでなく、人的要因や物理的要因も含まれるため、総合的な視点が求められます。

Q: 投機的リスクと純粋リスクの違いは何ですか？
A: 投機的リスクは利益も損失も発生する可能性があるリスクで、純粋リスクは損失のみが発生するリスクです。情報セキュリティでは主に純粋リスクを扱います。

Q: リスクの予想損失額はどのように計算しますか？
A: 発生確率と損失額の積（期待値）で計算し、単なるコストの合計ではありません。

関連キーワード: リスク分析, 情報セキュリティ, 純粋リスク, 投機的リスク, リスク評価, リスクマネジメント