リスクレベルとは？りすくれべる
リスクレベルとは、リスクの大きさを表す値で、脅威が現実になる「起こりやすさ」と、現実になったときの「結果の重大さ」を組み合わせて決める。リスク分析の段階でリスクごとに算定し、リスク評価の段階であらかじめ定めたリスク受容基準と比べて、対応の要否と優先順位を決める。定量的に金額で出す方法と、高・中・低の段階で出す定性的な方法がある。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
情報資産ごとに脅威と脆弱性を洗い出すと、対応候補は数十から数百件に膨らむ。すべてに同じ費用は掛けられないため、優先順位を人の勘ではなく共通の物差しで決める仕組みが要る。ISMSでは、組織が先に受容基準を決め、算定したリスクレベルがそれを超えるものだけを対応対象にする手順が定められている。支援士では、この順序と判断の根拠を問う出題が多い。
具体例
IPAの「中小企業の情報セキュリティ対策ガイドライン」に付属するリスク分析シートでは、被害発生可能性と重要度をそれぞれ段階で採点し、掛け合わせた値をリスク値として並べる。Webサーバの未パッチ脆弱性なら、公開系で攻撃が日常的に来るため発生可能性を最高に置き、顧客情報を扱うなら重要度も最高となり、対応の筆頭に上がる。
試験での引っ掛け
「影響が最大のリスクが最優先」と読ませる選択肢がある。リスクレベルは起こりやすさと結果の両方で決まるため、影響が大きくても発生がきわめてまれなら値は低く、軽微でも毎日起きるなら高くなる。またリスクレベルの算定はリスク分析、受容基準との比較はリスク評価であり、工程名を入れ替えた記述にも注意する。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。