リスク受容基準とは？りすくじゅようきじゅん
リスク受容基準とは、どの水準までのリスクなら追加の対策をせず引き受けるかを、経営があらかじめ定めた線引き。リスクマトリックスの区分や年間予想損失額の形で表し、リスクアセスメントの結果を低減するか保有するかへ振り分ける判断の物差しとして使う。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
リスクは残らず消せるものではなく、どこかで手を止める判断が必ず入る。その線を現場が案件ごとに引くと、判断が担当者の感覚と予算の都合で揺れ、なぜ対策しなかったのかを説明できなくなる。ISO/IEC 27001が基準の事前確立を求めるのは、この説明責任を成立させるためである。
具体例
情報セキュリティ委員会で「影響度大かつ発生可能性が中以上は必ず低減」「年間予想損失額が対策費用を下回るものは保有」と決議し、規程に載せておく。担当者ごとの匙加減や部門間の不公平が消え、監査でも受容の判断根拠を文書で示せる。
試験での引っ掛け
対策の見積りを見てから決めるものではなく、アセスメントの前に定めておく必要がある。後付けにすると「予算が無いから受容」を正当化する道具になり、評価自体が形骸化する。定めるのはリスク所有者を含む経営側で、担当部署が独自に緩められない点も問われる。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。