リスク受容基準とは？

リスク受容基準とは、どの水準までのリスクなら追加対策をせず受け入れるかを、経営が事前に定めた線引き。影響度と発生可能性のマトリクスや年間予想損失額で表現し、アセスメント結果を機械的に「対応する／しない」へ振り分ける役割を持つ。

基本情報技術者試験の過去問では1回出題されています。

りすくじゅようきじゅん

基本情報技術者試験の頻出用語／テクノロジ系

リスク受容基準の意味

どの水準までのリスクなら追加対策をせず受け入れるかを、経営が事前に定めた線引き。影響度と発生可能性のマトリクスや年間予想損失額で表現し、アセスメント結果を機械的に「対応する／しない」へ振り分ける役割を持つ。

「影響度大かつ可能性中以上は必ず低減」「年間予想損失額が対策費用を下回るものは保有」といった規定を情報セキュリティ委員会で承認しておくと、担当者ごとの判断のばらつきや部門間の不公平を防げる。

基準は対策の効果を見てから決めるものではなく、評価の前に決めておく必要がある。後付けにすると「予算が無いから受容」という結論を正当化する道具になり、リスクアセスメント自体が形骸化する。

JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS 内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントの前に定めておく
ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。
出典：平成30年度秋期基本情報技術者試験午前問58（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。