リスクレベルとは？りすくれべる
リスクレベルとは、個々のリスクの大きさを表した値で、一般に「起こりやすさ（発生可能性）」と「起きたときの影響の大きさ」を組み合わせて求める。リスク分析の段階でこの値を算定し、リスク評価の段階であらかじめ定めたリスク基準と照らして、対応するかどうか、どれから手を付けるかを決める。行と列に二つの軸を取ったリスクマトリックスで表すやり方が代表的である。
最終更新：2026-10-06
この語が出る過去問を解く →背景
洗い出したリスクは数十から数百に膨らむが、予算も人手も限られているため、全部に同じ手当てはできない。どれを先にやるかを担当者の感覚で決めると、声の大きい部署の要望が通り、後から説明もできない。起こりやすさと影響という二つの軸で機械的に順位を付けられるようにしたのがリスクレベルで、経営層に優先順位を説明するための共通言語になる。この試験の読者は、まさにその説明をする側に立つ。
具体例
部内の共有アカウント運用について、発生可能性を「高（3）」、影響度を「中（2）」と見積もり、掛け合わせて6と算定する。同じ手順で全項目を数値化すると、20項目のうちどこから予算を付けるべきかを、担当者の主観ではなく一覧表の形で経営会議に示せるようになる。
試験での引っ掛け
影響の大きさだけで決まると思い込みやすいが、損害が甚大でも発生がきわめてまれなら値は低くなり、軽微でも毎日起きるものは高くなる。片方の軸だけを見て順位を付けると判断を誤る。またリスクレベルを出すのは分析の段階であり、それを基準と照らして対応の要否を決めるのは評価の段階という順序も問われる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）解説で登場
JIS Q 27000におけるリスク評価はどれか。
正解：リスクが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
要点：リスク評価は分析結果を基準と比べ受容可否を決める
JIS Q 27000ではリスクアセスメントを、リスク特定・リスク分析・リスク評価の三つの段階で定義している。このうちリスク評価は、リスク分析で求めたリスクレベルをあらかじめ定めたリスク基準と照らし合わせ、受容できるか、対応が必要かを決めるプロセスである。順序としては「洗い出す→大きさを測る→基準と比べて判断する」と押さえるとよい。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問7（IPA）解説で登場
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に従ったリスク評価において，情報セキュリティリスクが受容可能か否かの意思決定を…
正解：組織の情報セキュリティのリスク基準
要点：リスク評価は分析結果をリスク基準と比較して受容可否を決める
リスク評価では、リスク分析で求めたリスクレベルを、あらかじめ定めたリスク基準（リスク受容基準やリスクアセスメントの実施基準）と比較する。この比較によって、受容できるか、対応が必要かの意思決定と優先順位付けを行う。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）解説で登場
JIS Q 31000:2010（リスクマネジメント－原則及び指針）において、リスクマネジメントは、“リスクについて組織を指揮統制するための調整された活動”と定…
正解：リスク特定 → リスク分析 → リスク評価 → リスク対応
要点：特定・分析・評価がリスクアセスメント、その後に対応
リスクマネジメントプロセスでは、まずリスクアセスメントとして「リスク特定→リスク分析→リスク評価」を順に行い、その結果を受けてリスク対応を選択・実施する。特定で何が起こり得るかを洗い出し、分析でリスクレベルを算定し、評価でリスク基準と比較して対応要否と優先順位を決める、という流れである。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。
正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
要点：リスクレベル＝影響の大きさ×起こりやすさの組合せ
リスクレベルは、結果（起きたときの影響の大きさ）と、その起こりやすさ（発生可能性）の組合せとして表現されるリスクの大きさと定義される。リスク分析の工程でこのリスクレベルを算定し、リスク基準と照らして評価する。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問7（IPA）
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）におけるリスク分析の定義はどれか。
正解：リスクの特質を理解し，リスクレベルを決定するプロセス
要点：リスク分析はリスクレベルを決定するプロセス
JIS Q 27000ではリスク分析を「リスクの特質を理解し、リスクレベルを決定するプロセス」と定義している。リスクアセスメントはリスク特定・リスク分析・リスク評価の3段階から成り、リスク特定で洗い出したリスクの発生可能性と影響度を見積もってリスクレベルを決めるのが分析、それをリスク基準と照らして受容可否を判断するのが評価である。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ リスク分析と評価（情報セキュリティリスクアセスメント）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。