分野 E｜セキュリティ・倫理
リスクアセスメント（情報資産台帳・リスク分析・リスク評価）
今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-24-3 情報セキュリティリスクアセスメント』
最終更新
よく出る形
- ISMS（情報セキュリティ管理の仕組み）で、リスクを調べる活動を選ぶ（3回分で1問）
- 問われるとしたら：リスク特定（見つける）・分析（測る）・評価（判断する）の区別を選ぶ形
- 問われるとしたら：情報資産（守る対象の情報）の洗い出しと台帳の記述を選ぶ形
- 問われるとしたら：リスク値（リスクの大きさの数値）の計算や、a〜c の組合せの形
覚えること
- 情報資産：組織が持つ、事業に必要で価値のある情報や、管理責任を伴う情報
- 情報資産の例：情報システム、データ、紙の文書など
- 情報資産台帳：洗い出した情報資産を見える化する一覧。管理部署や保存先も記録
- 重要度（情報資産の分類）：機密性、完全性、可用性の評価値のうち、最大値で判断する
- リスクアセスメント：リスク特定、リスク分析、リスク評価のプロセス全体
- リスク特定：リスクを発見、認識して、記述する
- リスク分析：リスクの特質を理解し、リスクの大きさを決める
- リスク評価：分析の結果をリスク基準と比べ、受容できるかを決める
- リスク基準：リスクの重大さを評価するための、あらかじめ決めた目安
- リスク値：重要度×被害発生可能性（IPA の手引きの方法）
- 被害発生可能性：脅威（攻撃など）と脆弱性（弱点）から決める
- リスクアセスメントのあとに、リスク対応を選ぶ
数字と計算
- 例：重要度 2、被害発生可能性 2 の情報資産は、リスク値 2×2＝4
ひっかけ
- 特定は見つける段階、分析は大きさを決める段階、評価は基準と比べる段階
- 重要度は、評価値の平均ではなく、最大値で決める
- 重要ではないと思う情報資産も、洗い出しの段階では台帳に記載する
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
情報資産の洗い出しと台帳に関する記述として、最も適切なものはどれか。
正解：ウ 情報システムやデータ、文書を洗い出し、管理部署と保存先を記録する。
ポイント
情報資産の洗い出しと、情報資産台帳の作り方を問う問題です。
考え方と解き方
情報資産は、情報システムの中のデータだけではありません。台帳は、まず洗い出して見える形にし、重要度はそのあとに組織で判断します。重要度を先に決めて除くと、守る対象が抜けます。
- 情報資産には、情報システム、データ、紙の文書などが含まれます。
- 台帳には、洗い出した情報資産を、管理部署や保存先とともに記録して、見える形にします。
- したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 紙の文書も、組織が持つ情報資産なので、洗い出しの対象に含めます。
- イ 重要かどうかは、洗い出して記入したあとに、組織で判断します。記入の前に重要ではないと決めて除くことはしません。
- エ 重要度は、時間がたつと変化することがあります。記入するのは現時点の評価で、変わらないものとして扱うのは適切ではありません。
覚えておくこと
- 情報資産：組織が持つ、事業に必要で価値のある情報や、管理責任を伴う情報
- 情報資産台帳：洗い出した情報資産を見える化する一覧。管理部署や保存先も記録
（テーマ・覚えること）
リスクアセスメントのプロセスのうち、リスク評価に当たる作業はどれか。
正解：エ 決めたリスクの大きさを、あらかじめ決めた基準と比べ、受容できるかを判断する。
ポイント
リスクアセスメントの段階のうち、リスク評価に当たる作業を問う問題です。
考え方と解き方
大きさを決める段階と、基準と比べる段階は、どちらもリスクの大きさを扱うので、どちらが評価かを混同しやすくなります。
- リスク評価は、リスク分析の結果をリスク基準と比べて、リスクが受容できるかを決めるプロセスです。
- したがって、リスク評価に該当するのは エ です。
ほかの選択肢
- ア リスクの特質を理解し、大きさを決める作業は、リスク分析です。
- イ リスクを発見して、記述する作業は、リスク特定です。
- ウ 受容できないリスクに対応を選ぶ作業は、アセスメントのあとに行う、リスク対応です。
覚えておくこと
- リスク評価：分析の結果をリスク基準と比べ、受容できるかを決める
- リスク分析：リスクの特質を理解し、リスクの大きさを決める
- リスク基準：リスクの重大さを評価するための、あらかじめ決めた目安
（テーマ・覚えること）
リスク値の求め方に関する記述として、適切なものだけを全て挙げたものはどれか。
B さんは、中小企業向けの手引きにもとづき、情報資産ごとのリスク値を求めている。リスク値は、重要度×被害発生可能性で求める。
- a 重要度は、機密性、完全性、可用性の評価値のうち、最大値で判断する。
- b 被害発生可能性は、脅威と脆弱性の状況から求める。
- c 重要度が同じ情報資産は、被害発生可能性が違っても、リスク値は同じになる。
正解：ア a、b
ポイント
リスク値を求めるときの、重要度と被害発生可能性の決め方を、a〜c で判定する問題です。
考え方と解き方
重要度の決め方を平均と考えると、a を不適切としてしまいます。
- a は適切です。重要度は、機密性、完全性、可用性の評価値のうち、最大値で判断します。
- b は適切です。被害発生可能性は、脅威と脆弱性の状況から求めます。
- c は不適切です。重要度が同じでも、被害発生可能性が違えば、積であるリスク値も違います。たとえば、重要度が 1 のとき、被害発生可能性が 2 なら 2、3 なら 3 です。
- したがって、適切なのは a、b で、ア です。
ほかの選択肢
- イ c も適切としていますが、被害発生可能性が違えばリスク値も違うので、c は不適切です。
- ウ a も適切なのに入っておらず、不適切な c が入っています。
- エ a、b が適切なのに入っておらず、不適切な c だけになっています。
覚えておくこと
- 重要度（情報資産の分類）：機密性、完全性、可用性の評価値のうち、最大値で判断する
- 被害発生可能性：脅威（攻撃など）と脆弱性（弱点）から決める
- リスク値：重要度×被害発生可能性（IPA の手引きの方法）
（テーマ・覚えること）
対策の前と後で、リスク値の差はどれか。
ある情報資産の重要度は 3 で、現状の被害発生可能性は 3 である。情報システムの設定を見直す対策によって、被害発生可能性は 2 に下がった。リスク値は、重要度×被害発生可能性で求める。
正解：イ 3
ポイント
対策の前後のリスク値を、重要度×被害発生可能性で求め、その差を問う計算問題です。
考え方と解き方
差は、対策前と対策後のリスク値を、それぞれ求めて引いたものです。被害発生可能性の差だけを見ると、重要度を掛け忘れます。
- 対策前のリスク値は、3×3＝9 です。
- 対策後のリスク値は、3×2＝6 です。
- リスク値の差は、9－6＝3 です。したがって、リスク値の差は 3 で、適切なのは イ です。
ほかの選択肢
- ア 1 は、被害発生可能性の差 3－2 だけを求めた値で、重要度を掛けていません。
- ウ 6 は、対策後のリスク値 3×2 です。前と後の差ではありません。
- エ 9 は、対策前のリスク値 3×3 です。前と後の差ではありません。
覚えておくこと
- リスク値：重要度×被害発生可能性（IPA の手引きの方法）
- 被害発生可能性：脅威（攻撃など）と脆弱性（弱点）から決める
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。