Risk Assessment
Risk Assessment
Risk Assessment（リスクアセスメント）とは
ひとことで
情報資産に対するリスクを「特定」し、その発生可能性や影響の大きさを「分析」し、対応が必要かどうか、どれを優先するかを「評価」する一連のプロセス。結果をもとに、リスク対応（低減・回避・移転・受容）を決める。
たとえると
旅行の前に「雨が降るかも（特定）」「降ったら観光が台無し、確率は半々（分析）」「これは対策が必要（評価）」と考え、傘を持っていく（低減）、行き先を変える（回避）、旅行保険に入る（移転）、多少のことは気にしない（受容）を決めるようなものです。
現場ではこう使う
ISMSの担当になった総務部の社員が、社内の情報資産を一覧にして、リスクアセスメントを行いました。「顧客名簿を保存したノートパソコンの紛失」は発生しやすく影響も大きいため優先度が高いと評価し、ハードディスクの暗号化でリスクを低減することにしました。一方、ほとんど起こらず影響も小さいリスクは、受容すると判断しました。
試験のポイント
EXAM POINTリスクアセスメントは「リスク特定→リスク分析→リスク評価」の3段階からなり、その後に「リスク対応」を行うという順番が問われます。リスク対応の4種類は、低減（対策で発生可能性や影響を下げる）、回避（原因となる活動をやめる）、移転（保険や外部委託で他者と分担する）、受容（保有：対策せず受け入れる）です。保険に入るのは「移転」と覚えましょう。