リスク基準とは？りすくきじゅん
リスク基準とは、情報セキュリティのリスクがどれくらい重大かを判定するために、組織があらかじめ決めておく物差し。起こりやすさと影響の大きさをどう組み合わせてリスクの大きさ（リスクレベル）を決めるか、どこまでなら対応せずに受け入れてよいか（リスク受容基準）を定める。JIS Q 27001 では、リスクアセスメント（リスクを洗い出して評価する作業）の前に確立しておくよう求めている。
最終更新：2026-10-09
この語が出る過去問を解く →背景
「危ない」の感じ方は人によって違う。基準が無いと担当者ごとに判定が変わり、評価が終わってから都合よく線を引いて受け入れてしまうこともできてしまう。だから測る前に物差しを決め、誰が評価しても同じ結論になるようにした。試験では「アセスメントの前に決める」「組織が自ら定める」という順番と主体が問われる。
具体例
IPA の「中小企業の情報セキュリティ対策ガイドライン」に付くリスク分析シートのように、起こりやすさ3段階と影響3段階の掛け合わせでリスクマトリックス（表）を作り、「値が6以上は対策を打つ、2以下は受容してよい」と規程に書いておく。学内 Wi-Fi の設定ミスも、この物差しに当てはめて対応の要否を決める。
試験での引っ掛け
リスク基準はリスクアセスメントを行う前に定めるもので、評価結果を見てから決めると受容の判断が後付けになる。基準は組織が自ら定めるものであり、法令や規格が具体的な数値を与えてくれるわけではない。リスク受容基準は基準の一部で、全体と同じ意味ではない。
関連用語
出た過去問
出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）解説で登場
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントの前に定めておく
ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。
出典：平成31年度 春期 基本情報技術者試験 午前 問41（IPA）解説で登場
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における"リスクレベル"の定義はどれか。
正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
要点：リスクレベルは結果の大きさと起こりやすさの組合せ
リスクレベルとは、ある事象が起きたときの結果の重大さと、その起こりやすさとを組み合わせて表したリスクの大きさである。リスクアセスメントでは、この二つの軸で各リスクを評価し、対応の必要性を判断する。弱点そのものは脆弱性、評価の目安となる条件はリスク基準と呼ばれ、いずれも別の用語である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。