リスク基準とは？

リスク基準の意味

リスクの重大性を評価するためにあらかじめ組織が定める判断基準。発生可能性や影響度をどう組み合わせてリスクの大きさを判定するか、どの程度なら対応が必要かなどを定める。

リスク基準の具体例

「影響度が高く発生可能性も高いリスクは即座に対応する」「影響度・発生可能性がともに低いリスクは受容してよい」といった判定ルールをあらかじめ策定しておく。

リスク基準は試験でどう引っ掛けられる？

リスク基準はリスクアセスメントを行う前に定めておくもの。評価結果を見てから基準を決めると、受容の判断が後付けになる。また基準は組織が自ら定めるもので、法令や規格が具体的な数値を与えてくれるわけではない。

リスク基準が出た過去問

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントの前に定めておく

  ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における"リスクレベル"の定義はどれか。

  正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ

  要点：リスクレベルは結果の大きさと起こりやすさの組合せ

  リスクレベルとは、ある事象が起きたときの結果の重大さと、その起こりやすさとを組み合わせて表したリスクの大きさである。リスクアセスメントでは、この二つの軸で各リスクを評価し、対応の必要性を判断する。弱点そのものは脆弱性、評価の目安となる条件はリスク基準と呼ばれ、いずれも別の用語である。

  出典：令和1年度 春期 基本情報技術者試験 午前 問41（IPA）