リスクマネジメント｜ITパスポート

シラバス案 Ver.0.1 の小分類 6-24-3「リスクマネジメント」（大分類 6：セキュリティ／中分類 24：情報セキュリティマネジメント）。
2026-09-26 にシラバス本文と突合済み。

0. 何を押さえるか

流れは 3 段です。何を守るか → どれだけ危ないか → どうするか。

段階	シラバスの項目	やること
① 守るものを知る	情報資産とリスク	情報資産を洗い出し、分類し、情報資産台帳に載せる
② 危なさを測る	リスクアセスメント	リスク特定 → リスク分析 → リスク評価
③ 手を打つ	リスク対応	回避・共有・保有（シラバスの用語例）に、低減を加えて選ぶ

取り違えやすいのは 2 か所です。

リスクアセスメントに「対応」は含まれない。 評価（対応が要るかの判断）までで終わり、対応は次の段階。
リスク対応の選び方。 「やめる」が回避、「他者と分け合う」が共有、「受け入れる」が保有。

1. 情報資産とリスク

根拠: シラバス 6-24-3

情報資産には、どんなものが含まれるか？

組織にとって価値のある情報と、それを扱うもの

	例
データ	顧客情報、設計図、売上データ
文書	契約書、紙の顧客名簿、議事録
情報システム	サーバ、PC、ソフトウェア、記録媒体

紙の文書や、それを扱う機器も情報資産。
「電子データだけ守ればよい」わけではない。

情報資産の分類とは？なぜ分類するか？

情報資産を、重要度（機密性・完全性・可用性の要求の高さ）に応じて区分すること

例: 「極秘」「社外秘」「公開」

分類する理由は、すべてを同じ強さで守ることはできないから。
重要なものほど強く守り、公開情報には手間をかけすぎない。

分類ごとに、持ち出し・複製・廃棄の扱い方を決めておく。

情報資産台帳とは？

組織が持つ情報資産を一覧にまとめた台帳

資産ごとに、次のようなことを記録する。

名称、保管場所、形態（電子・紙）
管理責任者
重要度（分類）

把握していないものは守れない——
リスクアセスメントの出発点になる。

2. 情報セキュリティリスクアセスメント

根拠: シラバス 6-24-3

リスクアセスメントのプロセスの 3 段階は？

リスク特定 → リスク分析 → リスク評価

段階	何をするか
リスク特定	どんなリスクがあるかを洗い出す
リスク分析	起こりやすさと、起きたときの影響の大きさを見積もる
リスク評価	見積もった結果をリスク基準と比べ、対応が必要かを判断する

対応そのものはアセスメントに含まれない。

リスク基準とは？どの段階で使うか？

リスクの大きさを「受け入れられるか、対応が要るか」判断するための物差し

例: 「影響が大きく、起こりやすさが中以上なら対応する」

リスク評価の段階で、分析した結果をこの基準と比べる。

基準を先に決めておかないと、
担当者ごとに判断がばらつき、対策の優先順位がつけられない。

リスク特定とリスク分析の違いは？

	問い	結果
リスク特定	何が起こりうるか？	リスクの一覧
リスク分析	それはどれくらい危ないか？	起こりやすさ × 影響の大きさ（リスクの大きさ）

リスクの大きさは、情報資産の価値・脅威・脆弱性の組合せで決まる。
脅威があっても、突かれる脆弱性がなければリスクは小さい。

3. 情報セキュリティリスク対応

根拠: シラバス 6-24-3

シラバスの用語例は「リスク回避，リスク共有（リスク移転，リスク分散），リスク保有」の 3 つで、リスク低減は挙がっていません
（なぜ挙げていないかは、シラバスには書かれていません）。
一方、IPA「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版（2026 年 3 月）は、
リスク値の大きいものから対策を決めるときの区分を「リスクを低減する・保有する・回避する・移転する」の 4 つで示しています。

低減は、自社で対策を導入・強化して脆弱性を改善し、事故が起きる可能性を下げること。
このあとのノート（技術的セキュリティ対策、諸規程など）で学ぶ対策の多くが、ここに当たります。
このノートでは、シラバスの 3 つを軸にし、低減を並べて整理します。
分類の数や名前（「移転」を独立させるか「共有」にまとめるか）は出典によって違うので、何をするかで見分けられるようにしておきます。

リスク対応で、回避・低減・共有・保有は、それぞれ何をするか？

	何をするか	例
リスク回避	リスクの原因となる活動そのものをやめる	個人情報を扱うサービスをやめる
リスク低減（シラバスの用語例には無い）	対策で、起こりやすさや影響を小さくする	暗号化、アクセス制限
リスク共有	保険や外部委託で、他者と分け合う	サイバー保険への加入
リスク保有	対策せず、受け入れる	影響の小さいリスクをそのままにする

やめる・減らす・分ける・受け入れる。

リスク共有の「リスク移転」と「リスク分散」の違いは？

	何をするか
リスク移転	損失を他者に肩代わりしてもらう（保険、契約による外部委託）
リスク分散	リスクのもとを複数に分けて、一度に全部を失わないようにする（拠点やデータの保管先を分ける）

どちらもリスク共有に含まれる。

保険で移転できるのはお金の損失であって、
情報が漏れたという事実や信用の低下までは移せない。

リスク保有とリスク回避は、どう使い分けるか？

	向くとき
リスク回避	影響が大きすぎ、その活動をやめても困らないとき
リスク保有	影響が小さい、または対策の費用のほうが高くつくとき

リスク保有は「何もしない」ではなく、
リスクを知ったうえで、受け入れると判断すること。
判断した記録を残し、定期的に見直す。