リスク基準とは？りすくきじゅん
リスク基準とは、リスクの重大性を評価するためにあらかじめ組織が定める判断基準で、JIS Q 27001ではリスク受容基準と、情報セキュリティリスクアセスメントを実施するための基準の2つを確立し維持することが求められる。発生可能性と影響度をどう組み合わせてリスクレベルを決めるか、どのレベルなら対応が必要でどこまでなら受容してよいか、誰がリスク所有者として受容を判断するかを定め、アセスメントを繰り返しても同じ結果が出るようにする。
最終更新：2026-10-06
この語が出る過去問を解く →背景
基準なしにリスクを評価すると、担当者ごとに「高い」「低い」の意味が変わり、去年と今年の結果も比べられない。評価結果を見てから基準を決めれば、都合のよい受容を後付けで正当化できてしまう。そこで基準を先に定め、繰り返しても整合した結果が出ることをISMSの要求事項にした。支援士の科目Bでは、リスク基準の確立と維持を助言する立場として、受容基準の妥当性と所有者の判断根拠を書かせる問題が出る。
具体例
ISO 31000の考え方に沿って、発生可能性と影響度をそれぞれ5段階にしたリスクマトリックスで「積が15以上は即時対応」「4以下はリスク所有者の承認で受容」と定める。委託先が外部サービスを新たに使い始めるといった変更のたびに、同じマトリックスで評価して結果を比較する。
試験での引っ掛け
リスク基準はリスクアセスメントを行う前に定めておくもの。評価結果を見てから基準を決めると受容の判断が後付けになる。基準は組織が自ら定めるもので、法令や規格が具体的な数値を与えてくれるわけではない。またリスク受容基準はリスク基準の一部であり、両者を同一視すると「アセスメントを実施するための基準」が抜ける。
関連用語
出た過去問
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクを発見・認識・記述するプロセス
JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。