リスク基準

リスクの重大性を評価するための目安とする条件（JIS Q 31000）。リスクの大きさをどう算定するか、どのレベルなら受容できるか（リスク受容基準）などを、組織の目的や法令・契約上の要求を踏まえて、リスクアセスメントの前に決めておく。

リスクの重大性を評価するための目安とする条件。リスク受容基準（組織がリスクを受け入れるかどうかの判断基準）を含み、リスクアセスメントの実施やリスク対応の判断に用いる。

リスクの重大性を評価するための判断の基準。JIS Q 27001では情報セキュリティリスクアセスメントの前に確立することを求めており、リスクを受容するかを決めるリスク受容基準と、アセスメントを一貫した方法で繰り返し実施するための基準（発生可能性や影響の尺度など）から成る。

組織が保有する情報資産を洗い出して一覧にした台帳。資産ごとに名称、管理責任者、保管場所、利用者の範囲、機密性・完全性・可用性から見た重要度などを記録し、リスクアセスメントや管理策の検討の基礎とする。

リスクアセスメントの最初のプロセスで、リスクを発見し、認識し、記述すること。情報資産ごとに脅威と脆弱性、起こり得る事象とその結果を洗い出す。続いてリスク分析、リスク評価を行う。

特定したリスクの性質を理解し、リスクレベルを決定するプロセス。事象の起こりやすさと結果の大きさを、損失額などの数値で表す定量的分析や、「高・中・低」などの段階で表す定性的分析によって見積もる。

リスク分析の結果をリスク基準と比べ、リスクを受容できるか、どのリスクから対応すべきかを判断するプロセス。リスクアセスメントの最後の段階にあたり、その結果をもとにリスク対応の選択肢を選ぶ。

PIAの進め方と、評価の結果をまとめる報告書の構成・内容を示した規格で、ISO/IEC 29134を基に制定された。PIAの要否の判断から、PIIの流れの特定、プライバシーリスクの特定・分析・評価、リスク対応の計画、報告書の作成と公表、対策の実施状況の確認と見直しまでの手順を示す。組織の中でPIAを一貫した方法で行うための拠り所となる。