定性的リスク分析の解説（情報セキュリティマネジメントシラバス用語）

定性的リスク分析とは

定性的リスク分析（ていせいてきりすくぶんせき）とは、リスクアセスメントにおいて、リスクの大きさや発生確率を具体的な金額ではなく、「大・中・小」や「1〜5段階のスコア」といった評価尺度を使って分析する方法です。すべてのリスクを金額換算することは難しいため、経験者の知識やアンケート、ディスカッションなどを通じて、比較的短時間で直感的にリスクの優先順位を決めたい場合に広く用いられます。

具体例

オフィスの鍵の紛失や、停電によるシステム停止などのリスクを評価してみましょう。

以下のような評価マトリクス（表）を作成し、リスクの「影響度」と「発生可能性」を段階的に判定します。

このように、「ノートPCの紛失は影響が大きいため、すぐに全社的なパスワード強化とルール作成に取り組もう」といった優先順位を素早く合意形成できます。

もう少し詳しく

定性的リスク分析（Qualitative Risk Analysis）は、金額や確率などの数値データを用いる定量的分析とは異なり、評価者の専門知識、経験、直感などに基づいてリスクの優先順位を決定するアプローチです。多くの組織において、保有する数千、数万もの情報資産すべてに対して金銭的被害額を見積もることは、人的コストと時間の面から現実的ではありません。そこで定性的リスク分析では、「影響度（影響の大きさ）」と「発生可能性（頻度）」という2つの軸を設定し、それぞれ「高・中・低」や「5点〜1点」のような段階評価（評価マトリクスまたはリスクマトリクスと呼ばれる）を用いてリスクレベルを視覚的かつ論理的に決定します。この方法は、組織内のさまざまな関係者を集めたブレインストーミングやアンケートを通じて迅速に実施できるため、関係者間の合意形成を図りやすいという大きなメリットがあります。ただし、評価者の主観に影響されやすいため、評価基準を明確にし、評価のばらつきを抑えるためのガイドライン（例えば「影響度『大』とは、顧客の個人情報が漏洩した場合を指す」など）を事前に対策チーム内で共有しておくことが求められます。

試験でのポイント

試験では、定性的リスク分析と定量的リスク分析の最大の違いや、それぞれの長所と短所が問われます。定性的リスク分析の長所は「短時間かつ低コストで実施可能であり、金額評価が困難なリスクもカバーできる点」、短所は「評価結果に主観（評価者の偏り）が入りやすく、投資効果を金額で説明しづらい点」です。これらをしっかりと対比して整理しておきましょう。また、試験問題で「リスクマトリクス（散布図のような表）を用いて、影響度と発生可能性から優先度を判定する」という文脈が出た場合は、定性的リスク分析の手法であることを一目で判断できるように訓練しておきましょう。

関連する用語

定性的リスク分析の関連用語としては、金額を用いて客観的に評価する「定量的リスク分析」、リスク対策の前提となるプロセス全体の「リスクアセスメント」、そして最終的な対処方法である「リスク対応（回避・低減・移転・受容）」があります。