リスク基準とは？

リスク基準の意味

リスクの重大性を評価するためにあらかじめ組織が定める判断基準。発生可能性や影響度をどう組み合わせてリスクの大きさを判定するか、どの程度なら対応が必要かなどを定める。

リスク基準の具体例

「影響度が高く発生可能性も高いリスクは即座に対応する」「影響度・発生可能性がともに低いリスクは受容してよい」といった判定ルールをあらかじめ策定しておく。

リスク基準は試験でどう引っ掛けられる？

リスク基準はリスクアセスメントを行う前に定めておくもの。評価結果を見てから基準を決めると、受容の判断が後付けになる。また基準は組織が自ら定めるもので、法令や規格が具体的な数値を与えてくれるわけではない。

リスク基準が出た過去問

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見・認識・記述するプロセス

  JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）