リスク許容度（リスク選好・しきい値）とは？

リスク許容度（リスク選好・しきい値）の意味

組織やスポンサがどの程度のリスクを受け入れる意思があるか（リスク選好）と、その受け入れ限界（しきい値）。どのリスクを受容し、どこから積極的な対応を打つのかの線引きを決める基準であり、これが合意されていないと、対応策の要否がPMの主観論争になる。

リスク許容度（リスク選好・しきい値）の具体例

「発生確率10%以上かつ影響1,000万円以上のリスクは、必ず軽減策を用意して予備費を積む。それ未満は受容してコンティンジェンシー予備で吸収する」といった形で計画書に明記する。個人情報漏えいのように、金額に関係なく受容しない領域も別途定める。

リスク許容度（リスク選好・しきい値）は試験でどう引っ掛けられる？

許容度はプロジェクトごとに決めるものではなく、組織の方針とスポンサの意思に由来する。PMが独断で「これは受容する」と決めると、顕在化したときに責任問題になる。また受容は「何もしない」ではなく、予備の確保と監視を伴う正式な対応戦略である。PMは許容度を決める側ではなくスポンサ・組織から引き出して明文化する側。しきい値は分野ごとに異なるのが普通で、コストに緩く安全性に厳しいのは矛盾ではない。数値のしきい値を決めずに「重大なら対応」とすると、判断が担当者の主観に委ねられる。

リスク許容度（リスク選好・しきい値）と関連する用語

• コストベースライン／マネジメント予備・コンティンジェンシー予備
• 定性的リスク分析
• 組織体の環境要因
• 確率・影響マトリックス

リスク許容度（リスク選好・しきい値）が出た過去問

• バイオメトリクス認証システムの判定しきい値を変化させるとき，FRR（本人拒否率）とFAR（他人受入率）との関係はどれか。

  正解：FRRを減少させると，FARは増大する。

  要点：FRRとFARはしきい値を介したトレードオフの関係

  生体認証では、判定に用いるしきい値を緩めれば本人が拒否されにくくなる（FRRが下がる）が、その分だけ他人も受け入れやすくなる（FARが上がる）。両者はしきい値を介したトレードオフの関係にあり、双方が等しくなる点はEER（等価エラー率）と呼ばれ、システムの精度比較に用いられる。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問22（IPA）

• A社は、分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では、図1の“情報セキュリティリスクアセスメント手順”に従…

  正解：a1=0, a2=2, a3=2, a4=8

  要点：重要度は機密性・完全性・可用性の評価値の最大値

  自社Webサイトの掲載情報は公開情報なので機密性は0である。一方、掲載しているのは製品の機能説明や操作マニュアルであり、改ざんされれば顧客の利用に大きな影響が及ぶため完全性は2となる。重要度は機密性0・完全性2・可用性2の最大値で2、リスク値は重要度2×脅威2×脆弱性2=8である。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問50（IPA）

• A社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では，次の“情報セキュリティリスクアセスメント手順”に従い…

  正解：（一），（三）

  要点：リスク値は重要度×脅威×脆弱性、しきい値超えだけ対応する

  重要度は機密性・完全性・可用性の評価値の最大値なので、四つの情報資産はいずれも重要度2になります。リスク値は重要度×脅威×脆弱性で求めるため、（一）は2×2×2＝8、（二）は2×1×1＝2、（三）は2×2×2＝8、（四）は2×2×1＝4です。しきい値5を超えるのは（一）と（三）なので、この二つが保有以外のリスク対応を要します。

  出典：令和5年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問13（IPA）