リスク基準（リスク受容基準、情報セキュリティリスクアセスメントを実施するための基準）

リスク基準は、組織がリスクの重大さを評価するためのものさしです。どの程度のリスクなら受け入れられるかを定めたリスク受容基準などを含みます。

■ 試験で押さえるポイント

• リスクアセスメントを始める前に、経営層の考えを踏まえて決めておきます。

• リスク評価では、分析したリスクのレベルをこの基準と比べ、対応が必要かを判断します。

• 同じ方法で繰り返し評価しても、同じ結果になるよう基準を決めます。

■ 過去問での着眼点

リスク基準は、リスク評価の前に決めておくものです。分析の後で決めるものではありません。

例: 「リスクレベルが3以下なら受容し、4以上なら対策する」という基準を事前に決めておきます。