リスク許容度（リスク選好・しきい値）とは？りすくきょようど
リスク許容度（リスク選好・しきい値）とは、組織がどこまでのリスクなら受け入れるかという姿勢（リスク選好）と、受け入れられる上限を具体的な線で示したもの（しきい値）。情報セキュリティでは、リスクアセスメントで算定したリスクレベルをこの線と突き合わせ、そのまま受容するか、低減・移転・回避へ進むかを振り分ける。線を決める責任は経営層にある。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
受容の線が文書になっていない組織では、同じ程度のリスクでも担当者や部署ごとに「それくらいなら大丈夫」の幅が違い、事故が起きたあとで誰の判断だったのかも辿れなかった。JIS Q 27001 はリスク受容基準を先に定めて文書化することを求め、判断を人ではなく基準へ預ける形にしている。科目Bで「この残留リスクを受容してよいか」を読ませる設問の土台がこれである。
具体例
日本情報経済社会推進協会（JIPDEC）の ISMS 適合性評価制度の審査では、リスク受容基準が文書として存在し、実際のアセスメント結果と突き合わされているかが見られる。「リスクレベル3以上は必ず低減策を実施する。2以下は受容する。ただし個人データの外部流出は金額に関わらず受容しない」のように、数値の線と例外を分けて書く。
試験での引っ掛け
しきい値は部門が個別に決めるものではなく、組織として定めた基準に従う。リーダーの仕事は基準を作ることではなく、基準を経営層から引き出して文書化し、自部門のリスクを当てはめることにある。受容も「何もしない」ではなく、リスク所有者を決めて残留リスクを承認させ、監視を続ける正式な選択肢である点を取り違えやすい。
関連用語
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ リスク分析と評価（情報セキュリティリスクアセスメント）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。