リスク許容度（リスク選好・しきい値）とは？りすくきょようど
リスク許容度（リスク選好・しきい値）とは、組織がどこまでのリスクを取る意思があるか（リスク選好）と、そこを超えたら必ず手を打つという受け入れの限界（しきい値）。JIS Q 27001でいうリスク受容基準にあたり、アセスメントの結果を受容してよいのか、低減・移転・回避へ進むのかという線引きを与える。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
「重大なら対応する」としか書かれていない基準の下では、同じリスクレベルを見ても担当者や部署で判断が割れ、対応の要否が主観の言い合いになる。だから評価を始める前に、基準を数値と条件の形で決めておく。支援士の立場から重要なのは、この基準を決める権限が自分には無いという点である。受容してよいと決められるのは、その資産と業務に責任を負うリスク所有者や経営層であり、実務者の役割は基準を引き出して文書化し、評価結果をその物差しに照らして見せるところにある。
具体例
リスクレベルを5段階で評価し、4以上は必ず低減策を実施、3以下は監視のうえ受容する、ただし個人データの外部流出につながる経路はレベルにかかわらず受容しない、といった形でリスク受容基準へ書き下す。受容したものは残留リスクの一覧に載せ、リスク所有者の承認印を残す。
試験での引っ掛け
しきい値は組織の方針とリスク所有者の意思に由来するもので、実務担当者が独断で「これは受容する」と決めてよいものではない。受容は何もしないことではなく、残留リスクとして記録し監視を続ける正式な選択肢である。またしきい値は分野ごとに違ってよく、可用性には緩く機密性には厳しい基準を置くのは矛盾ではない。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。