リスク受容基準とは？りすくじゅようきじゅん
リスク受容基準とは、どの水準までのリスクなら追加対策をせず受け入れるかを、経営が事前に定めた線引き。影響度と発生可能性のマトリクスや年間予想損失額で表現し、アセスメント結果を機械的に「対応する／しない」へ振り分ける役割を持つ。
最終更新：2026-10-06
この語が出る過去問を解く →具体例
「影響度大かつ可能性中以上は必ず低減」「年間予想損失額が対策費用を下回るものは保有」といった規定を情報セキュリティ委員会で承認しておくと、担当者ごとの判断のばらつきや部門間の不公平を防げる。
試験での引っ掛け
基準は対策の効果を見てから決めるものではなく、評価の前に決めておく必要がある。後付けにすると「予算が無いから受容」という結論を正当化する道具になり、リスクアセスメント自体が形骸化する。
関連用語
出た過去問
出典：令和4年度 秋期 応用情報技術者試験 午前 問58（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…
正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。
要点：リスク受容基準はリスクアセスメントの前に定める
リスク受容基準は、リスクアセスメントの結果を評価するための物差しなので、アセスメントを始める前に定めておかなければなりません。順序が逆になると評価が恣意的になり得るため、規格の要求事項に適合していない状況として指摘の対象になります。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。