リスク基準とは？

リスク基準の意味

リスクの重大性を評価するためにあらかじめ組織が定める判断基準。発生可能性や影響度をどう組み合わせてリスクの大きさを判定するか、どの程度なら対応が必要かなどを定める。

リスク基準の具体例

「影響度が高く発生可能性も高いリスクは即座に対応する」「影響度・発生可能性がともに低いリスクは受容してよい」といった判定ルールをあらかじめ策定しておく。

リスク基準は試験でどう引っ掛けられる？

リスク基準はリスクアセスメントを行う前に定めておくもの。評価結果を見てから基準を決めると、受容の判断が後付けになる。また基準は組織が自ら定めるもので、法令や規格が具体的な数値を与えてくれるわけではない。

リスク基準が出た過去問

• ISMSにおける情報セキュリティリスクアセスメントでは、リスクの特定、分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a あらかじめ定…

  正解：a

  要点：リスク評価は基準と照合して対応の優先順位を決める段階

  リスクアセスメントは特定・分析・評価の三段階からなり、このうち評価は、分析結果をあらかじめ定めたリスク基準と照らして、対応の要否や優先順位を決める段階である。リスクを洗い出すbは特定の段階、判断の物差しとなる基準を定めるcはアセスメントに先立つリスク基準の確立にあたるため、評価に該当するのはaだけとなる。

  出典：平成30年度 秋期 ITパスポート試験 問99（IPA）