「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として

・情報セキュリティ
・リスク
・リスクアセスメント
・リスクマネジメント

について結構ガッツリ説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

情報セキュリティは「情報の安全を守ること」です。



教科書的な説明をしているところでは、情報に対する

機密性：Confidentiality
完全性：Integrity
可用性：Availability

の3つを保持すること、と説明していることが多いでしょう。
それぞれの意味は

機密性：見せたくない人には見せない！不正アクセスはんたーい！
完全性：おかしくなってない！情報改ざんはんたーい！
可用性：見せて良い人に見せる！見られない情報は存在しないのと同じ！

です。
※機密性、完全性、可用性の詳細が気になる方は、用語「情報セキュリティ」の説明を ご覧ください。具体例を挙げて説明しています。

リスクは「危険性」のカタカナ表現です。



あるいは「不確実性」のカタカナ表現です。



一般的には「危険性」の意味で使われます。
資産運用の世界とかでは「不確実性」の意味で使われることもあるようです。

ただし、もしも あなたがISMS（情報セキュリティマネジメントシステム）をお勉強中で このページを見ているのであれば、ここまでの説明は忘れてもいいです。
「JIS Q 27000:2019」という資料の中で「リスク」は

目的に対する不確かさの影響

と定義されています。
※実際には長々とした「注記」が付いています。できれば原文を見てくださいね。
※この説明を書いている時点の情報です。将来的には「JIS Q 27000:2019」の「2019」の部分は変わるはずです。

それを丸暗記しておけば良いと思います。

あと、他の分野では他の定義があるようです。
試験勉強とかをしている人は、その分野の「リスク」の定義を調べてください。

リスクアセスメントは「リスクを見つけて、分析して、評価する作業」です。
「こんなことが起こったらヤバいんじゃない？」「うーん、ヤバいかなー？」「めっちゃヤバそうだねー」みたいなことを考えます。



リスクに対する対応というのは、リスクを

１．見つける
２．調べる
３．考える
４．対処する

といった段階を踏みます。

まずは「あっ！これは放っておくとヤバそうだ！」と気付くのが始まりです。
これが

１．見つける

です。

次に、そのヤバそうなことを調べます。
「何がヤバそうか？」とか「なんでヤバそうか？」とかですね。
これが

２．調べる

です。

次に調べた内容をもとにして考えます。
「う～ん、これを放っておいたら、どれくらいヤバいんだろう？」とかですね。
これが

３．考える

です。

最後に「よし！放っておくとヤバそうだから何とかしよう！」と（必要に応じて）行動に移します。
これが

４．対処する

です。

この「１．見つける」から「４．対処する」までの流れのうち「１．見つける」から「３．考える」までを指す用語がリスクアセスメントです。



ちなみに「４．対処する」を含んだ「１．見つける」から「４．対処する」までの一連の流れは「リスクマネジメント」と呼んだりします。
せっかくなので、併せて覚えてあげてください。



……と、偉そうに書いておいてなんですが、具体的に何を指しているのかは、よく分かりませんでした。
人によって微妙に指しているものが違う気がしたのですよね。

例えば「１．見つける」から「３．考える」までの一連の流れを指して「リスクアセスメント」と呼んでいる人がいました。
その人は

リスクアセスメント＋実際の対処＝リスクマネジメント

という考え方なのでしょう。



これが、おそらく一般的な考え方だと思います。

ただし「３．考える」のみを指して「リスクアセスメント」と表現している人もいました。
その人は「１．見つける」は「リスク発見」と表現していました。
「２．調べる」は「リスク分析」です。

リスク発見＋リスク分析＋リスクアセスメント＋実際の対処＝リスクマネジメント

という解釈っぽいです。



あるいは、リスクに対する対処内容を決定するところまで含めて「リスクアセスメント」と表現している人もいました。
例えば「風邪を引くリスク」に対して「『手洗い、うがいをしっかりしましょう！』と決める」までをリスクアセスメントに含める考え方です。
その場合は

リスクアセスメント≒リスクマネジメント

と言えると思います。



そんな感じで、私が調べたかぎりは微妙な解釈の違いがあるように思えました。

あっ、そうそう。
資格試験の勉強をしている人は別のところで情報を補完してください。
資格試験で正解とされる「定義」はあるようです。

……えっ？
その「定義」を教えろ！……ですか？

仕方がありませんねー。

上でも登場した「JIS Q 27000:2019」という資料の中には以下のように書いてあります。

3.64
リスクアセスメント（risk assessment）
　リスク特定（3.68），リスク分析（3.63）及びリスク評価（3.67）のプロセス（3.54）全体。
　（JIS Q 0073:2010の3.4.1参照）

ISMSをお勉強中の人は、この定義を丸暗記しておけば良いと思います。

なお、他の試験では他の定義があるかもしれません。
このページでざっくりしたイメージがつかめたら、あなたが受ける試験用の参考書とかで情報を補完してください。

以上を踏まえて

情報セキュリティ関係のリスクを見つけて、分析して、評価する

のが「情報セキュリティリスクアセスメント」です。



そのまんまですね。
「情報セキュリティ」の「リスクアセスメント」で「情報セキュリティリスクアセスメント」です。



IT関連の話であれば、単に「リスクアセスメント」と言ったのと同じ意味ですけどね。
某・資格試験の過去問に出てきたので取り上げてみました。