リスクアセスメントと事業継続
リスクアセスメントを構成する3つのプロセス、リスクレベル・残留リスクの定義、事業継続のRTOとRPOの違いを区別して、定義を選ぶ問題を自力で解けるようになる。
リスクマネジメントと事業継続は、用語の定義を選ばせる問題が繰り返し出ます。選択肢には似た用語の定義が並ぶので、言葉の対応を正確に覚えておけば確実に取れる分野です。
このレッスンで稽古する（用語チェック・過去問）結論：アセスメントは「特定→分析→評価」の3つだけ
リスクアセスメント（リスクを洗い出して大きさを見積もり、対応すべきかを判断する一連の作業）は、リスク特定・リスク分析・リスク評価の3プロセスで構成されます。リスク対応とリスク受容は、アセスメントが終わった後の工程です。試験ではここに「対応」や「受容」を混ぜた選択肢が出ます。
| プロセス | やること | ひとことで言うと |
|---|---|---|
| リスク特定 | どんなリスクがあるかを洗い出す | 何が起きうるか |
| リスク分析 | 起こりやすさと影響の大きさを見積もり、リスクレベルを決める | どれくらい危ないか |
| リスク評価 | 分析結果をリスク基準と比べ、対応が要るか・優先順位を決める | 手を打つべきか |
| （後工程）リスク対応 | 回避・低減・移転・保有などの手を打つ | どう手を打つか |
flowchart LR
A["リスク特定"] --> B["リスク分析"] --> C["リスク評価"] --> D["リスク対応"] --> E["残留リスク"]
図の左から3つ（特定・分析・評価）がアセスメントです。家の防災にたとえると、「地震・火事・空き巣を書き出す（特定）」「それぞれどれくらい起きやすく被害が大きいか見積もる（分析）」「どれから手を付けるか決める（評価）」までがアセスメント。「耐震工事をする」「保険に入る」は対応です。
優先順位は「損失額×発生確率」で付ける
考えられる全リスクに手を打つのは、時間もお金もかかりすぎて現実的ではありません。そこで、損失額と発生確率からリスクの大きさを見積もり、大きい順に優先順位を付けます。これがアセスメントの中心的な考え方です。
例：リスクAは損失1,000万円・発生確率1%（大きさ10万円）、リスクBは損失100万円・発生確率20%（大きさ20万円）。損失額だけ見るとAが怖そうですが、リスクの大きさではBが上なので、Bを先に対応します。
試験で「不適切」とされる記述の型は決まっています。
- 過去のデータを参照するのを避ける → 誤り。過去の実績は見積もりの重要な材料です。
- 前回の対策が全部終わるまで、次のアセスメントを避ける → 誤り。状況は変わるので、繰り返し実施します。
- リスクが顕在化（実際に起きる）してから実施する → 誤り。アセスメントは起きる前に行うものです。
- 実損失額を知るのが目的 → 誤り。目的は優先順位を付けて対応を決めることです。
リスクレベルと残留リスクの定義
リスクレベル（JIS Q 27000）は、「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」です。前の節の「損失額×発生確率」と同じ考え方だと押さえれば覚えやすいです。
残留リスク（JIS Q 31000）は、「リスク対応後に残るリスク」です。対策をしてもリスクはゼロにならず、残った分は受け入れるかどうかを判断します。
定義問題では、隣の用語の定義が選択肢に並びます。
| 用語 | 定義 | 見分けるキーワード |
|---|---|---|
| リスクレベル | 結果と起こりやすさの組合せで表すリスクの大きさ | 「組合せ」「大きさ」 |
| 脆弱性 | 脅威に付け込まれる可能性のある、資産や管理策の弱点 | 「弱点」 |
| リスク基準 | リスクの重大性を評価するための目安となる条件 | 「目安」「条件」 |
| 残留リスク | リスク対応後に残るリスク | 「対応後」 |
| 固有リスク | 業務の性質や本来の特性から生じるリスク | 「本来」「性質」 |
| 発見リスク | 監査手続をしても監査人が重要な不備を見つけられないリスク | 「監査人」「発見できない」 |
事業継続：RTOは「時間」、RPOは「時点」
BCP（事業継続計画）は、災害や障害が起きても重要な業務を止めない・早く再開するための計画です。そのIT版の計画がディザスタリカバリ（災害からのシステム復旧）です。ここで必ず出るのがRTOとRPOです。
- RTO（目標復旧時間）：インシデント発生後、製品・サービスや事業活動の再開、資源の復旧までにかける時間の目標。例「4時間以内に再開する」。
- RPO（目標復旧時点）：システムを戻したとき、どの時点のデータまで復旧させるかの目標。言い換えると「どれだけのデータ損失まで許せるか」。
RPOの例：毎日0時にバックアップを取るなら、最悪で約24時間分のデータを失います。このとき達成できるRPOは「直近のバックアップ時点（最大で約24時間前）」です。RPOを1時間以内にしたいなら、バックアップやレプリケーション（データの複製を別の場所に取り続ける仕組み）を1時間より短い間隔で行う必要があります。
ゲームのセーブにたとえると、RPOは「どこのセーブポイントまで戻されても許せるか」、RTOは「再開するまで何分待てるか」です。
| 略語 | 正式名称 | 表すもの | 単位のイメージ |
|---|---|---|---|
| RTO | Recovery Time Objective | 復旧までにかける時間の目標 | 「○時間以内に」 |
| RPO | Recovery Point Objective | どの時点のデータまで戻すかの目標 | 「○時間前の状態まで」 |
| MTTR | Mean Time To Repair | 故障してから修理が終わるまでの平均時間（実績値） | 平均修理時間 |
| MTBF | Mean Time Between Failures | 故障から次の故障までの平均時間（実績値） | 平均故障間隔 |
MTTRとMTBFは信頼性の指標で、「目標（Objective）」ではなく実績の平均値です。BCPの用語を聞かれたら、末尾が O（Objective＝目標） のRTO・RPOを候補にします。
要点（試験直前に読む）
- リスクアセスメント＝リスク特定・リスク分析・リスク評価の3つ。対応・受容は含まない。
- 優先順位は損失額×発生確率（リスクの大きさ）で付ける。過去データは使う、繰り返し実施する、起きる前にやる。
- リスクレベル＝結果と起こりやすさの組合せで表すリスクの大きさ。
- 残留リスク＝リスク対応後に残るリスク。
- RTO＝復旧までの時間の目標、RPO＝どの時点のデータまで戻すかの目標。末尾O＝Objective（目標）。
ひっかけ
- プロセスの組合せ問題で「リスク対応」「リスク受容」が混ざった選択肢は誤り。特定・分析・評価の3つが揃っているものを選ぶ。
- 「過去のデータを参照しない」「全対策が終わるまで再実施しない」「顕在化してから実施する」はどれも誤りの定番。
- リスクレベルの定義問題では、脆弱性（弱点）・リスク基準（目安となる条件）・優先順位の説明が並ぶ。「組合せ」「大きさ」を探す。
- 残留リスクの定義問題では、発見リスク（監査人）・固有リスク（本来の性質）の説明が並ぶ。「対応後」を探す。
- 「システム再稼働までの時間」はRTOでRPOではない。MTTR・MTBFは目標ではなく実績の平均値なので、BCPの用語を問われたら除外する。
用語（18）
リスクを特定・分析・評価して、対応すべきリスクと優先順位を決める一連のプロセス。
⚠ リスクマネジメントはアセスメントに対応・監視なども含む全体。アセスメントは特定・分析・評価の3つだけ。
起こりうるリスクを洗い出して記録すること。
リスクの起こりやすさと影響を見積もり、リスクレベルを決めること。
⚠ リスク評価は分析結果を基準と比べて対応の要否を決める段階。数字を出すのが分析、判断するのが評価。
分析したリスクをリスク基準と比べ、対応が必要か・どれを優先するかを決めること。
⚠ リスク対応（実際に手を打つ）とは別。評価までがアセスメント。
評価結果に基づき、リスクを回避・低減・移転・保有するなどの手を打つこと。
⚠ アセスメントには含まれない後工程。
リスクに特別な対策をせず、起きた場合の損失を受け入れると決めること。
⚠ リスク対応の選択肢の一つで、アセスメントの構成要素ではない。
結果（影響）とその起こりやすさの組合せで表したリスクの大きさ。
⚠ 脆弱性（弱点）やリスク基準（評価の目安となる条件）と取り違えやすい。「組合せ」「大きさ」がキーワード。
脅威に付け込まれる可能性がある、資産や管理策の弱点。
⚠ リスクレベルの選択肢に紛れ込む。「弱点」なら脆弱性。
リスクの重大性を評価するときの目安となる条件。
⚠ リスクレベル（リスクの大きさそのもの）と混同しやすい。基準は比べる物差し。
リスク対応をした後にも残っているリスク。
⚠ 固有リスク（業務の性質から本来生じるリスク）、発見リスク（監査人が不備を見つけられないリスク）と区別する。「対応後」がキーワード。
業務の性質や本来持っている特性から生じるリスク。
⚠ 残留リスクは対応後に残る分、固有リスクは対応前の本来の分。
監査手続を行っても、監査人が重要な不備を発見できないリスク。
⚠ 監査の用語。残留リスクの定義問題でひっかけとして出る。
災害や障害が起きても重要な業務を継続または早期に再開するための計画。
⚠ ディザスタリカバリはその中のシステム復旧の部分。
災害で止まったシステムやデータを復旧させるための仕組みや計画。
インシデント発生後、事業や資源を再開・復旧させるまでにかける時間の目標。
⚠ RPOは「どの時点のデータまで戻すか」。RTOは時間（Time）、RPOは時点（Point）。
復旧したときに、障害発生前のどの時点の状態までデータを戻すかの目標。
⚠ 「再稼働までの時間」はRTO。RPOは許せるデータ損失の範囲を表す。
故障してから修理が完了するまでにかかった時間の平均。
⚠ 実績の平均値で、BCPの目標値であるRTOとは別物。
故障が直ってから次に故障するまでの時間の平均。
⚠ MTTRは修理時間、MTBFは故障の間隔。どちらもBCPの目標ではない。
このレッスンの過去問
- リスクアセスメントのプロセス(特定・分析・評価)平成29年度 秋期 基本情報技術者試験 午前 問43
- リスクアセスメントにおける対応優先順位付け平成26年度 秋期 基本情報技術者試験 午前 問39
- JIS Q 27000のリスクレベルの定義平成31年度 春期 基本情報技術者試験 午前 問41
- 残留リスクの定義基本情報技術者試験 科目A免除 修了試験 20171210 実施分 問41
- 事業継続計画の指標(RTO・RPO等)令和元年度 秋期 基本情報技術者試験 午前 問57