リスク基準とは？

リスク基準の意味

リスクの重大性を評価するためにあらかじめ組織が定める判断基準。発生可能性や影響度をどう組み合わせてリスクの大きさを判定するか、どの程度なら対応が必要かなどを定める。

リスク基準の具体例

「影響度が高く発生可能性も高いリスクは即座に対応する」「影響度・発生可能性がともに低いリスクは受容してよい」といった判定ルールをあらかじめ策定しておく。

リスク基準は試験でどう引っ掛けられる？

リスク基準はリスクアセスメントを行う前に定めておくもの。評価結果を見てから基準を決めると、受容の判断が後付けになる。また基準は組織が自ら定めるもので、法令や規格が具体的な数値を与えてくれるわけではない。

リスク基準と関連する用語

• リスクアセスメント（リスク特定・分析・評価）

リスク基準が出た過去問

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントより先に定める

  JIS Q 27001では、リスクアセスメントを行う前にリスク受容基準を含むリスク基準を確立しておくことが要求されている。順序が逆になると、算定結果を見てから受容の線引きを決めることになり、判断の客観性が損なわれる。したがって、アセスメント実施後に受容基準を決めていた状況は要求事項からの逸脱であり、指摘事項として記載すべきである。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）

• JIS Q 27000におけるリスク評価はどれか。

  正解：リスクが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス

  要点：リスク評価は分析結果を基準と比べ受容可否を決める

  JIS Q 27000ではリスクアセスメントを、リスク特定・リスク分析・リスク評価の三つの段階で定義している。このうちリスク評価は、リスク分析で求めたリスクレベルをあらかじめ定めたリスク基準と照らし合わせ、受容できるか、対応が必要かを決めるプロセスである。順序としては「洗い出す→大きさを測る→基準と比べて判断する」と押さえるとよい。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に従ったリスク評価において，情報セキュリティリスクが受容可能か否かの意思決定を…

  正解：組織の情報セキュリティのリスク基準

  要点：リスク評価は分析結果をリスク基準と比較して受容可否を決める

  リスク評価では、リスク分析で求めたリスクレベルを、あらかじめ定めたリスク基準（リスク受容基準やリスクアセスメントの実施基準）と比較する。この比較によって、受容できるか、対応が必要かの意思決定と優先順位付けを行う。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問7（IPA）

• JIS Q 31000:2010（リスクマネジメント－原則及び指針）において、リスクマネジメントは、“リスクについて組織を指揮統制するための調整された活動”と定…

  正解：リスク特定 → リスク分析 → リスク評価 → リスク対応

  要点：特定・分析・評価がリスクアセスメント、その後に対応

  リスクマネジメントプロセスでは、まずリスクアセスメントとして「リスク特定→リスク分析→リスク評価」を順に行い、その結果を受けてリスク対応を選択・実施する。特定で何が起こり得るかを洗い出し、分析でリスクレベルを算定し、評価でリスク基準と比較して対応要否と優先順位を決める、という流れである。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。

  正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ

  要点：リスクレベル＝影響の大きさ×起こりやすさの組合せ

  リスクレベルは、結果（起きたときの影響の大きさ）と、その起こりやすさ（発生可能性）の組合せとして表現されるリスクの大きさと定義される。リスク分析の工程でこのリスクレベルを算定し、リスク基準と照らして評価する。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）