Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第5部 5-3

リスクアセスメントのやり方｜特定・分析・評価の手順とリスクマトリックス

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 対策の優先順位を決めたいとき／リスク評価の設問に答えるとき
  • IPAのサンプルで出した「リスク値」の意味を、社長に説明したいとき
  • SGや支援士、CISSPの勉強で、定性的分析と定量的分析の違いを押さえたいとき

読み終えたあと、社内でこう言えます

「リスクマトリックスで、対策する順番と基準を整理しました」

結論：リスクアセスメントとは、リスクを見つけ、大きさを測り、対策が要るかを決めるまでの作業です。規格ではリスク特定・リスク分析・リスク評価の3段階と定義されています。中小企業は、IPAの方式で「重要度×被害発生可能性」を3段階ずつ掛け合わせるリスクマトリックスから始めると無理がありません。始める前に、どの大きさから対策するかという基準を社長と決めておくことが大事です。

リスクアセスメントは、リスク特定・リスク分析・リスク評価の3段階で進め、対策の優先順位を決める

リスクアセスメントとは？3つの段階

リスクマネジメントの規格JIS Q 31000:2019（ISO 31000:2018に対応）は、リスクアセスメントを「リスク特定，リスク分析及びリスク評価を網羅するプロセス全体」としています。情報セキュリティの用語を定めたJIS Q 27000:2019の定義も同じ3段階です。

段階規格での意味（要約）会社でやること
リスク特定リスクを発見し、認識し、記述する情報資産ごとに、起こりうる事故を書き出す
リスク分析リスクの特質を理解し、リスクレベルを決める起こりやすさと影響の大きさから、リスクの大きさを出す
リスク評価分析の結果をリスク基準と比べ、受け入れられるかを決める決めた基準と比べ、対策が要るものと順番を決める

JIS Q 27000:2019は、リスクレベル（リスクの大きさ）を「結果とその起こりやすさの組合せ」と定義しています。つまり、どれだけ困るかとどれだけ起きやすいかの2つで測ります。情報セキュリティ向けの手引きとしては、ISO/IEC 27005:2022（2022年10月）もあります。

特定の材料になるのが、情報資産台帳とリスクの種類の洗い出しです。この2つを先に作っておくと、特定の段階が早く終わります。

最初に決める「リスク基準」とは？

リスク基準とは、リスクが重大かどうかを判断する目安です。JIS Q 27000:2019は「リスクの重大性を評価するための目安とする条件」と定義しています。これがないと、分析で数字を出しても、対策するかどうかを決められません。

米国の国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク（CSF）2.0も、基準を先に決める考え方です。「統治」の中で、リスク選好（どこまでのリスクを取るか）とリスク許容度の表明を求めています。中小企業なら、次のような1枚で十分です。

リスクの大きさ基準の例（社長が決める）
大（9〜6）必ず対策する。3か月以内に着手する
中（4）1年以内に対策するか、保有するかを社長が判断する
小（3〜1）原則として保有し、年1回見直す

着手の期限は会社ごとに決めてください。表の数字の区切りは、次に説明するIPAの方式に合わせています。

リスクマトリックスの作り方：IPAの「重要度×被害発生可能性」

リスクマトリックスとは、影響の大きさと起こりやすさを縦横に並べ、リスクの大きさをマスで示す表です。情報処理推進機構（IPA）の「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）は、次の式を示しています。

  1. 重要度（3〜1）：情報資産台帳で付けた、機密性・完全性・可用性の最大値です。
  2. 脅威（3〜1）：対策しない場合に事故の原因がどれくらい起きるか。3は「いつ起きてもおかしくない」、2は「年に数回程度」、1は「通常は起きない」です。
  3. 脆弱性（3〜1）：対策の状況。3は「ほぼ無防備」、2は「部分的に実施」、1は「必要な対策をすべて実施」です。
  4. 被害発生可能性（3〜1）：脅威と脆弱性から求めます。IPAの「リスク値算定」シートが自動で計算します。
  5. リスク値：重要度×被害発生可能性。9〜6が大、4が中、3〜1が小です。
重要度＼被害発生可能性3（高）2（中）1（低）
39 大6 大3 小
26 大4 中2 小
13 小2 小1 小

シートの計算では、脅威と脆弱性がどちらも3なら被害発生可能性は3です。どちらかが1なら、もう片方が高くても1になります。対策を進めて脆弱性を下げると、リスク値が下がる仕組みです。

定性的分析と定量的分析の違いは？

リスク分析には、大・中・小のような段階で測る方法と、金額で測る方法があります。情報セキュリティマネジメント試験（SG）のシラバスにも、両方の言葉が載っています。

方法測り方向いている場面
定性的分析3段階・5段階などの評価で測る数字の材料が少ない中小企業。まず全体の順位をつけたいとき
定量的分析損失額×発生回数などの金額で測る対策の費用と比べたいとき。保険の金額を決めるとき

定量的分析でよく使うのが年間予想損失額です。英語ではALE（Annualized Loss Expectancy）と呼びます。1回の事故の損失額（SLE）に、1年あたりの発生回数（ARO）を掛けて求めます。

たとえば、ノートPCの紛失1回で対応費用が50万円かかり、2年に1回起きると見込むとします（架空の数字）。年間予想損失額は50万円×0.5回＝25万円です。暗号化の費用が年25万円より安ければ、費用の面からも対策する理由になります。

4つの進め方：ベースラインから資産ベースまで

IPAのガイドラインは、リスク分析の進め方として4つを紹介しています。

進め方特徴
ベースラインアプローチ既存の基準に沿って対策する。簡単だが、自社に対して過不足が出ることがある
非形式的アプローチ担当者や専門家の経験で判断する。早いが、人によって偏る
資産ベースのリスク分析資産ごとに価値・脅威・脆弱性を評価する。細かいが手間がかかる
組合せアプローチ複数を組み合わせ、長所と短所を補う

中小企業では、IPAの「5分でできる！情報セキュリティ自社診断」で基本を固め（ベースライン）、重要な情報だけ資産ベースで評価する組み合わせが現実的です。点検の進め方は月1回のセルフチェックで扱います。

社員40人の会社でやってみると（架空の例）

社員40人の部品メーカーで、総務課長が情報システムを兼務している場合を考えます。台帳から重要な行を選び、評価した結果が次の表です。

情報資産・保存先重要度脅威脆弱性リスク値
取引先の図面・ファイルサーバー3339 大
顧客リスト・営業のノートPC3236 大
見積書・共有フォルダ2222 小
製品カタログ・ホームページ2312 小

ファイルサーバーは外から入れる古いVPN機器の先にあり、更新もされていませんでした。基準に沿って、まずVPN機器の更新とバックアップの分離に着手します。どの対策を選ぶかはリスク対応の4つで、対策しないと決めたものの扱いは残留リスクとリスクの受容で説明します。

チェックシートではこう聞かれる

よくある設問答え方の例
情報セキュリティのリスクアセスメントを定期的に実施していますか。はい。IPAのガイドラインの方式で、重要な情報資産ごとにリスク値を算定し、年1回と仕組みの変更時に見直しています。
リスクを評価する基準を定めていますか。はい。リスク値の大・中・小ごとに、対策の要否と着手の期限を定め、代表者が承認しています。
評価結果に基づき、対策の優先順位を決めていますか。はい。リスク値の大きいものから対策計画を作り、進み具合を四半期ごとに確認しています。
リスクアセスメントの結果を文書で残していますか。いいえ。現在は担当者の判断で進めており、〇月までに評価表として文書にする予定です。

実施していない場合も、予定と現在の代わりの取り組みを書くと誠実な回答になります。ISMS認証がない場合の書き方はISMS未取得のときの答え方も参考になります。

試験ではここが問われる

SG・支援士・Security+ 5・CISSP 1・CISM 2

  • 3段階の順番：リスク特定→リスク分析→リスク評価。この全体がリスクアセスメントで、リスク対応は含みません。
  • 紛らわしい対：リスク分析は「大きさを決める」こと、リスク評価は「基準と比べて受け入れられるか決める」ことです。
  • リスクレベル：結果（影響）と起こりやすさの組み合わせで表す、リスクの大きさ。
  • 定量的分析：ALE＝SLE×ARO。SLEは1回の損失額、AROは年間の発生回数。Security+やCISSPでは計算問題が出ます。
  • 4つのアプローチ：ベースライン・非形式的・詳細（資産ベース）・組合せの長所と短所。

確認問題

問1 JIS Q 27000:2019における「リスク評価」の説明として、最も適切なものはどれですか。

  1. ア リスクを発見し、認識し、記述するプロセス
  2. イ リスクの特質を理解し、リスクレベルを決定するプロセス
  3. ウ リスク分析の結果をリスク基準と比べ、受け入れられるかを決めるプロセス
  4. エ リスクを修正するプロセス
答えと解説
正解：ウ　リスク評価は、分析の結果を基準と比べて判断する段階です。アはリスク特定、イはリスク分析、エはリスク対応の説明です。

問2 社員35人の物流会社（架空）で、配送管理システムの停止を評価しました。1回止まると損失は200万円で、4年に1回起きると見込みます。年間予想損失額はいくらですか。

  1. ア 25万円
  2. イ 50万円
  3. ウ 200万円
  4. エ 800万円
答えと解説
正解：イ　年間予想損失額は、1回の損失額×年間の発生回数です。4年に1回は年0.25回なので、200万円×0.25＝50万円です。エは4倍にした誤り、ウは1回分の損失額のままです。

問3 IPAのガイドラインの方式で、重要度3の情報資産について、被害発生可能性が2と判定されました。リスク値の区分はどれですか。

  1. ア 小（3〜1）
  2. イ 中（4）
  3. ウ 大（9〜6）
  4. エ 判定できない
答えと解説
正解：ウ　リスク値は重要度×被害発生可能性なので、3×2＝6で「大」です。中は4（2×2）のときだけです。重要度と被害発生可能性が分かれば判定できるため、エも誤りです。

よくある質問

リスクアセスメントは、どのくらいの頻度で行えばよいですか？
年1回の定期的な見直しに加え、新しいシステムの導入や組織の変更のときに行うのが目安です。SGのシラバスも、新しい脅威やシステム・組織の変更に伴うリスクを特定し、評価することを求めています。大きな事故が起きたあとも、見直しのきっかけになります。
リスク分析とリスクアセスメントは、同じ意味ですか？
同じではありません。リスク分析はリスクアセスメントの中の1段階で、リスクの大きさを決める作業です。リスクアセスメントは、特定・分析・評価の3段階全体を指します。
リスク値の「中」や「小」は、対策しなくてよいのですか？
自動的に放置してよいわけではありません。リスク基準に沿って、保有するなら社長がその判断を承認し、記録を残します。保有の決め方と文書の書き方は、残留リスクとリスクの受容で説明しています。

この記事のまとめ

リスク評価の設問は任せて、確認と提出だけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートのうち、リスクアセスメントや評価基準を問う設問に、御社の実態に合わせた回答を作ってお返しします。まだ実施していない項目には、予定の書き方も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 日本産業標準調査会（JISC）「JIS Q 31000:2019 リスクマネジメント－指針」（2019年）※JIS検索から閲覧
  2. 日本産業標準調査会（JISC）「JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語」（2019年）※JIS検索から閲覧
  3. ISO「ISO/IEC 27005:2022 Information security, cybersecurity and privacy protection — Guidance on managing information security risks」（2022年10月）
  4. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）と付録6「資産管理台帳（サンプル）」
  5. NIST「The NIST Cybersecurity Framework (CSF) 2.0」（2024年2月）
  6. IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.1（2025年4月）