情報セキュリティマネジメント試験 用語辞典
- 分野:
- 情報セキュリティ管理
情報セキュリティアセスメント - 重要度:
- ★★★
(Wikipedia リスクアセスメントより)リスクアセスメント(Risk assessment)とは、リスク特定、リスク分析、リスク評価を網羅するプロセス全体を指す
- リスク特定 (risk identification) - リスクを発見し、認識し、記述するプロセス
- リスク分析 (risk analysis) - リスクの特質を理解し、リスクレベルを決定するプロセス
- リスク評価 (risk evaluation) - リスク(とその大きさ)が受容可能か(許容可能か)を決定するためにリスク分析の結果をリスク基準と比較するプロセス
通常は、リスクアセスメントの後で、リスク対応をする。
- リスク対応 (risk treatment) - リスクを修正するプロセス
リスク対応の手段には、リスク源の除去、起こりやすさの変更、結果の変更、他者とのリスクの共有、リスクの保有などがある。
- 残留リスク (residual risk) - リスク対応の後に残るリスク
- リスク基準 (risk criteria) - リスクの重大性を評価するための目安とする条件
- リスクレベル (level of risk) - 結果とその起こりやすさとの組合せとして表されるリスク(または組み合わさったリスク)の大きさ
リスク管理プロセス
リスクアセスメントとは、もともとリスク管理プロセス内のサブプロセスである。安全工学上はリスクとは、人、環境、物に悪い影響をあたえる可能性と大きさ(の積)である。予測されるリスクの可能性と大きさ(予測値)と、許容されるリスクの可能性と大きさ(許容値)を比較し、予想値が許容値を上回った時リスク軽減の施策又はリスク回避の施策をとるという意思決定を行い、実際にその施策をとり、より安全な状態を実現するプロセスをとることになる。このプロセス全体がリスク管理プロセスである。このように、リスクアセスメントは、リスク管理プロセス内の意思決定サブプロセスとなる。
リスク評価
リスクアセスメント(risk assessment)は、「リスク評価」と訳されることが多い。しかし、risk evaluationをリスク評価と訳している場合もあり注意が必要である。本来、assessmentとevaluationとの間には、若干の相違点がある。evaluationは評価する行為そのものであるのに対して、assessmentは評価した結果に基づいて考察を加え、判断することまで含める概念である。例えば、環境アセスメントは、その代表的な使い方である。risk assessment, risk evaluation, risk characterization, risk managementなどの訳語に調整(Harmonization)が必要である。これらの用語についてはUNEP/ILO/FAO/WHO/ILO/UNIDO/UNITAR/OECDによる整理事例がある。
出題例
[出典]基本情報技術者 平成26年秋期 問39
- 以前に洗い出された全てのリスクへの対応が完了する前にリスクアセスメントを実施することは避ける。
- 将来の損失を防ぐことがリスクアセスメントの目的なので,過去のリスクアセスメントで利用されたデータを参照することは避ける。
- 損失額と発生確率の予測に基づくリスクの大きさに従うなどの方法で,対応の優先順位を付ける。
- リスクアセスメントはリスクが顕在化してから実施し,損失額に応じて対応の予算を決定する。
「情報セキュリティアセスメント」の用語
「情報セキュリティ管理」の他の分野
「セキュリティ」の他のカテゴリ
このページのWikipediaよりの記事は、ウィキペディアの「リスクアセスメント」(改訂履歴)の記事を複製、再配布したものにあたり、このページ内の該当部分はクリエイティブ・コモンズ 表示 - 継承 3.0 非移植 ライセンスの下 に提供されています。
Pagetop