ITリスク管理

「不確かさの影響」——良い方向にも悪い方向にも振れうる、という含みがあります。

④ リスクレベル

2つの要素の組み合わせ

⑤ リスク分析

⑥ リスク基準

⑦ リスク評価

⑧ リスク特定

⑨ 6つの用語を一覧で

⑩ 3つのプロセスの順序

特定 → 分析 → 評価

⑪ 判別のポイント

⑫ 「分析」と「評価」の違い

この2つが最も混同されやすい論点です。

分析で大きさを測り、評価で判断する——この順序で覚えます。

⑬ 第6章とのつながり

第6章のセキュリティ対策で学んだ脅威と脆弱性が、ここでの「起こりやすさ」に関わります。

この2軸で、次のテーマの4つの対応が決まります。

具体的に書かないと、後の分析と対策ができません。

手順②　リスク分析（リスクレベルを決定する）

手順③　リスク基準を定める

手順④　リスク評価（基準と比較して受容可能かを決定する）

この判断が、次のテーマの4つの対応につながります。

「リスクレベル＝結果 × 起こりやすさ」の意味

AとBは同じレベルだが、対応は違う

同じレベルでも、性格によって対応が変わる——これが2軸で考える理由です。

中小企業でリスク特定をするときのこつ

「何を守るのか」を先に決める

すべてを同じレベルで守ろうとすると、費用が足りなくなります。

「現場に聞く」で出てくること

最後の1つが最も深刻

バックアップの確認は、診断士として必ず聞くべき項目です。

確認するときの問い

3つ目が見落とされやすい

確認してみましょう

> 次の記述の正誤を判定せよ。（令和5年度第23問　改題）

> a　リスクレベルとは、結果とその起こりやすさの組み合わせとして表現されるリスクの大きさのことである。

> b　リスク分析とは、リスクの特質を理解し、リスクレベルを決定するプロセスのことである。

> c　リスク特定とは、リスク分析の結果をリスク基準と比較するプロセスのことである。

解答　a：○　b：○　c：×

• c：×……リスク評価の内容です。リスク特定は、リスクを発見、認識及び記述するプロセスです。

② 2軸による整理

4つの対応は、2つの軸で位置づけられます。

③ 4つの対応の位置

④ リスクの低減

リスク要因の予防や被害拡大防止措置を講じることにより、当該リスクの発生確率や損失を減じることです。

⑤ リスクの低減の具体例

⑥ 4つの例の性格

予防（発生確率を下げる）と被害拡大防止（損失を減らす）の両方がある——これが低減の特徴です。

⑦ 第6章で学んだ技術との対応

技術的な対策の多くは「リスクの低減」に分類されます。

⑧ リスクの保有

リスクが受容可能な場合や対策費用が損害額を上回るような場合には、あえて何も対策を講じないことです。

⑨ 保有するその他の場面

「許容できるリスクのレベル」を超えるものの、現状において実施すべきセキュリティ対策が見当たらない場合や、コスト（人、物、金等）に見合ったリスク対応の効果が得られない場合等にも、リスクを受容します。

⑩ 「あえて何も対策を講じない」

保有と「放置」の違い

「認識した上で、対策しないと決める」——これが保有です。

⑪ 対策費用と損害額の比較

期待値の考え方

⑫ 低減と保有の対比

令和4年度の本試験では、この2つの内容も入れ替えて出題されました。

③ 回避が有効な場面

リスクを保有することによって得られる利益に対して、リスクを保有することによるリスクの方が極端に大きな場合に有効です。

④ 回避の代償

リスクをなくす代わりに、活動の機会も失う——これが回避の性格です。

⑤ 2つ目の例が示す極端さ

リスクは確実になくせるが、代償が大きい——だから「極端に大きな場合に有効」とされます。

⑥ リスクの移転

保険に加入したり、業務をアウトソーシングするなどして、他者との間でリスクを分散することです。

⑦ リスクの移転の具体例

⑧ 移転の限界

しかし、リスクがすべて移転できるとは限りません。多くの場合、金銭的なリスクなど、リスクの一部のみが移転できます。

⑨ 「すべて移転できるとは限らない」の意味

保険に入っていれば安心、ではない

⑩ アウトソーシングによる移転の注意点

委託しても責任は残る

個人情報保護法でも、委託先の監督義務が定められています。

⑪ 4つの対応を一覧で

⑫ 判別のキーワード

令和4年度の本試験では、この4つがすべて入れ替えて出題されました。