リスクレベルとは？
リスクレベルとは、リスクの大きさを表した値で、一般に「起こりやすさ（発生頻度）」と「起きたときの影響の大きさ」を組み合わせて求める。分析の段階でリスクごとにこの値を出し、評価の段階であらかじめ決めた基準と照らして、対応するかどうか、どれを先に手当てするかを決める。
情報セキュリティマネジメント試験の過去問では11回出題されています（2016年度〜2025年度）。
りすくれべる
リスクレベルの意味
リスクの大きさを表した値で、一般に「起こりやすさ（発生頻度）」と「起きたときの影響の大きさ」を組み合わせて求める。分析の段階でリスクごとにこの値を出し、評価の段階であらかじめ決めた基準と照らして、対応するかどうか、どれを先に手当てするかを決める。
リスクレベルの具体例
社内システムの共有パスワード運用について、発生頻度を「高（3）」、影響を「中（2）」と見積もり、掛け合わせて6と算定する。同じ方法で全項目を数値化すると、20項目のうちどれから予算を付けるべきかを、担当者の感覚ではなく一覧表で説明できるようになる。
リスクレベルは試験でどう引っ掛けられる？
リスクレベルは影響の大きさだけで決まるものではない。損害が甚大でも発生がきわめてまれなら値は低くなり、逆に軽微でも毎日起きるものは高くなる。片方だけを見て順位を付けると判断を誤る。
リスクレベルと関連する用語
リスクレベルが出た過去問
JIS Q 27000におけるリスク評価はどれか。
正解：リスクが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
要点：リスク評価は分析結果を基準と比べ受容可否を決める
JIS Q 27000ではリスクアセスメントを、リスク特定・リスク分析・リスク評価の三つの段階で定義している。このうちリスク評価は、リスク分析で求めたリスクレベルをあらかじめ定めたリスク基準と照らし合わせ、受容できるか、対応が必要かを決めるプロセスである。順序としては「洗い出す→大きさを測る→基準と比べて判断する」と押さえるとよい。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に従ったリスク評価において，情報セキュリティリスクが受容可能か否かの意思決定を…
正解：組織の情報セキュリティのリスク基準
要点：リスク評価は分析結果をリスク基準と比較して受容可否を決める
リスク評価では、リスク分析で求めたリスクレベルを、あらかじめ定めたリスク基準（リスク受容基準やリスクアセスメントの実施基準）と比較する。この比較によって、受容できるか、対応が必要かの意思決定と優先順位付けを行う。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問7（IPA）JIS Q 31000:2010（リスクマネジメント－原則及び指針）において、リスクマネジメントは、“リスクについて組織を指揮統制するための調整された活動”と定…
正解：リスク特定 → リスク分析 → リスク評価 → リスク対応
要点：特定・分析・評価がリスクアセスメント、その後に対応
リスクマネジメントプロセスでは、まずリスクアセスメントとして「リスク特定→リスク分析→リスク評価」を順に行い、その結果を受けてリスク対応を選択・実施する。特定で何が起こり得るかを洗い出し、分析でリスクレベルを算定し、評価でリスク基準と比較して対応要否と優先順位を決める、という流れである。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。
正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
要点：リスクレベル＝影響の大きさ×起こりやすさの組合せ
リスクレベルは、結果（起きたときの影響の大きさ）と、その起こりやすさ（発生可能性）の組合せとして表現されるリスクの大きさと定義される。リスク分析の工程でこのリスクレベルを算定し、リスク基準と照らして評価する。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）におけるリスク分析の定義はどれか。
正解：リスクの特質を理解し，リスクレベルを決定するプロセス
要点：リスク分析はリスクレベルを決定するプロセス
JIS Q 27000ではリスク分析を「リスクの特質を理解し、リスクレベルを決定するプロセス」と定義している。リスクアセスメントはリスク特定・リスク分析・リスク評価の3段階から成り、リスク特定で洗い出したリスクの発生可能性と影響度を見積もってリスクレベルを決めるのが分析、それをリスク基準と照らして受容可否を判断するのが評価である。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問7（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。