ITパスポート 2022年 問86

リスクアセスメントにおけるリスク分析とは？【ITパスポート 解説】

正解の理由

• リスクアセスメント（risk assessment：リスクの特定・分析・評価を通じて危険度を把握すること）
• 受容基準（acceptance criteria：どの程度のリスクなら受け入れられるかを示す基準）
• リスク分析（risk analysis：リスクの発生確率と影響を見積もり、レベル化する工程）

解法ステップ

1. 問題文で「リスク特定、リスク分析、リスク評価」の順序を確認する。
2. 各工程の役割を思い出す。
   • リスク特定：何がリスクかを見つける工程。
   • リスク分析：それぞれのリスクの大きさ（レベル）を見積もる工程。
   • リスク評価：受容基準と比較して受容するか対策するか決める工程。
3. 選択肢を当てはめる。リスクのレベルを決める内容は「分析」に該当するので、アを選ぶ。

選択肢別の誤答解説

• ア：適切。リスク分析の主な目的は「確率と影響を評価してリスクレベルを決める」ことです。決めたレベルは受容基準と比較して、次の評価段階で判断します。
• イ：誤り。全ての情報資産（情報資産＝業務で使うデータやシステムなど価値のあるもの）を無条件に対象にする必要はありません。重要度の高い資産から優先的に行うことが一般的です（スコープ設定や優先順位付けが必要）。
• ウ：誤り。すべてのリスクに同じ分析技法を使う必要はありません。リスクの性質や利用可能なデータに応じて、定性的（※後述）／定量的な手法やマトリクス、計算式を使い分けます。
• エ：誤り。リスクが受容可能かどうかを決めるのは「リスク評価」の工程です。分析は判断材料（リスクレベル）を作る段階に当たります。

よくある誤解

1. 「リスク分析＝リスク評価」と混同する。
   • リスク分析はレベルを算出する段階。評価は受容か対策かを決定する段階です。
2. 「全資産を必ず分析しなければならない」と考える。
   • 重要度の低い資産はスコープから外れたり、簡易評価で済ませたりします。限られた資源で効率よく実施するのが現実的です。
3. 「同じ手法で全てを比較すればよい」と思い込む。
   • 定量的に数値化できるものと、専門家の判断でしか評価できないものがあります。使い分けが必要です。

補足コラム

• 定性的分析（qualitative analysis：質的分析）
  • リスクの発生確率や影響を「高・中・低」などランクで評価します。手早く優先順位を付けるのに便利です。
  • 例：リスクマトリクス（縦：影響、横：確率を組み合わせる図）
• 定量的分析（quantitative analysis：量的分析）
  • 金額や回数で数値化して評価します。例えば年間損失期待値（ALE）を計算する方法があります。
  • 代表例：SLE（Single Loss Expectancy：1回当たりの損失期待値）、ARO（Annualized Rate of Occurrence：年間発生回数想定）を使って $$ALE=SLE\times ARO$$ と求めます。
• 混合アプローチ
  • まず定性的にスクリーニングし、重要なリスクだけ定量分析する、という現実的な進め方がよく使われます。

FAQ