リスクアセスメントは、情報セキュリティマネジメントシステム（ISMS）の構築・運用において中核をなすプロセスです。組織が管理すべき情報資産の洗い出しを行い、それに対して発生し得る「脅威（リスクを引き起こす要因）」と「脆弱性（システムや運用上の弱点）」を組み合わせてリスクの大きさを測ります。例えば、情報資産が「重要顧客名簿」で、脅威が「不正アクセス」、脆弱性が「パスワード設定が簡易」である場合、これらが重なることで「個人情報漏洩」という具体的なリスクが顕在化します。リスクアセスメントを実施することにより、限られたセキュリティ予算や人的リソースをどこに集中させるべきかを意思決定するための客観的なデータが得られます。また、リスクは一度評価すれば終わりではなく、新たなIT技術の導入やサイバー攻撃手法の進化、組織体制の変更などに応じて定期的に再評価（見直し）を行うことが重要です。
試験においては、リスクアセスメントの3つのステップ（特定・分析・評価）のそれぞれの定義と順番、および具体的な作業内容を正確に区別できることが問われます。例えば、「脅威と脆弱性を組み合わせてリスクの大きさを計算するプロセスはどれか」という問いに対しては「リスク分析」が正解となります。「基準値（リスク許容度）と比較して対策の要否や優先順位を決めるプロセスはどれか」という問いには「リスク評価」が正解です。また、リスクの大きさを計算する方法には、金額ベースで算出する「定量的リスク分析」と、スコアやマトリクスで段階評価する「定性的リスク分析」の2種類がある点も頻出の知識であるため、それぞれの特徴と長所・短所をしっかりと区別して整理しておきましょう。
リスクアセスメントと関係の深い用語には、評価されたリスクに対して具体的な防衛策を適用する「リスク対応（回避・低減・移転・受容）」、情報を客観的数値で分析する「定量的リスク分析」、そして経験や主観を交えてマトリクスで評価する「定性的リスク分析」があります。