リスク基準とは？りすくきじゅん
リスク基準とは、リスクの重大性を判断するために組織があらかじめ定めておく物差し。発生可能性と影響度をどう組み合わせてリスクレベルを算定するか、どの水準を超えたら対応が必要か、どこまでなら受け入れてよいか（リスク受容基準）を含む。誰が算定しても同じ結論になるようにするための取り決めで、組織の事業内容や規模に応じて自ら定めるものである。
最終更新：2026-10-06
この語が出る過去問を解く →背景
基準が無いままリスクを評価すると、同じ事象でも担当者によって「重大」にも「軽微」にもなり、部署をまたいだ比較ができない。さらに評価結果を見てから基準を決めると、都合の悪いリスクだけを受容へ寄せる後付けの判断が通ってしまう。これを防ぐために、評価を始める前に判定のルールを固定しておくのがリスク基準である。試験では、順序と「誰が決めるのか」の二点が繰り返し問われる。
具体例
「影響度・発生可能性がともに高いリスクは経営会議に上げて即時対応する」「リスクレベル4以下は所管部長の承認のもとで受容してよい」といった判定ルールを、リスクアセスメントに着手する前に文書化しておく。以降のアセスメントはこの表に当てはめるだけで済み、判断のばらつきが減る。
試験での引っ掛け
リスク基準はリスクアセスメントを行う前に定めておくもので、評価結果を見てから決めるものではない。また基準は組織が自ら定めるものであり、法令やJIS Q 27001が具体的な数値を与えてくれるわけではない。似た語のリスクレベルは個々のリスクの大きさを表す値で、基準そのものではない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）解説で登場
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントより先に定める
JIS Q 27001では、リスクアセスメントを行う前にリスク受容基準を含むリスク基準を確立しておくことが要求されている。順序が逆になると、算定結果を見てから受容の線引きを決めることになり、判断の客観性が損なわれる。したがって、アセスメント実施後に受容基準を決めていた状況は要求事項からの逸脱であり、指摘事項として記載すべきである。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）
JIS Q 27000におけるリスク評価はどれか。
正解：リスクが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
要点：リスク評価は分析結果を基準と比べ受容可否を決める
JIS Q 27000ではリスクアセスメントを、リスク特定・リスク分析・リスク評価の三つの段階で定義している。このうちリスク評価は、リスク分析で求めたリスクレベルをあらかじめ定めたリスク基準と照らし合わせ、受容できるか、対応が必要かを決めるプロセスである。順序としては「洗い出す→大きさを測る→基準と比べて判断する」と押さえるとよい。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問7（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に従ったリスク評価において，情報セキュリティリスクが受容可能か否かの意思決定を…
正解：組織の情報セキュリティのリスク基準
要点：リスク評価は分析結果をリスク基準と比較して受容可否を決める
リスク評価では、リスク分析で求めたリスクレベルを、あらかじめ定めたリスク基準（リスク受容基準やリスクアセスメントの実施基準）と比較する。この比較によって、受容できるか、対応が必要かの意思決定と優先順位付けを行う。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）解説で登場
JIS Q 31000:2010（リスクマネジメント－原則及び指針）において、リスクマネジメントは、“リスクについて組織を指揮統制するための調整された活動”と定…
正解：リスク特定 → リスク分析 → リスク評価 → リスク対応
要点：特定・分析・評価がリスクアセスメント、その後に対応
リスクマネジメントプロセスでは、まずリスクアセスメントとして「リスク特定→リスク分析→リスク評価」を順に行い、その結果を受けてリスク対応を選択・実施する。特定で何が起こり得るかを洗い出し、分析でリスクレベルを算定し、評価でリスク基準と比較して対応要否と優先順位を決める、という流れである。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）解説で登場
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。
正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
要点：リスクレベル＝影響の大きさ×起こりやすさの組合せ
リスクレベルは、結果（起きたときの影響の大きさ）と、その起こりやすさ（発生可能性）の組合せとして表現されるリスクの大きさと定義される。リスク分析の工程でこのリスクレベルを算定し、リスク基準と照らして評価する。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ リスク分析と評価（情報セキュリティリスクアセスメント）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。