リスク評価

リスク分析の結果をもとに、リスクの重大性を判断し、対応の優先順位を決定するプロセス。許容可能なリスクかどうかの判断基準と比較して評価する。

リスク分析の結果をリスク基準と比較して、リスク対応の必要性と優先順位を決定するプロセス。リスク受容基準と照らし合わせ、対応が必要なリスクを選別する。リスクマトリックスなどを用いて判断する。

リスク分析で得たリスクレベルを、あらかじめ定めたリスク基準と比較し、対応が必要かどうかと優先順位を決める作業。リスク特定・リスク分析と合わせてリスクアセスメントを構成する最終段階である。

リスク分析の結果をリスク基準と比較して、リスクの受容可否を判断するプロセス。リスクの優先順位に基づき、どのリスクに対応が必要かを決定する。リスクアセスメント（リスク特定→リスク分析→リスク評価）の最終段階。

リスク分析の結果をリスク基準と比較し、対応が必要なリスクの優先順位を決定するプロセス。リスクの受容水準を超えるリスクについて、対応策の検討・実施を行う。

リスクの大きさが受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセス。リスク対応の優先順位付けの根拠となる。

リスクアセスメントの最後のプロセスで、リスク分析の結果をリスク基準と比較して、リスクを受容するか対応が必要かを判断し、対応の優先順位を決めること。英語ではrisk evaluationで、特定・分析・評価の全体を指すリスクアセスメント（risk assessment）とは区別する。

組織が保有する情報資産を洗い出して一覧にした台帳。資産ごとに名称、管理責任者、保管場所、利用者の範囲、機密性・完全性・可用性から見た重要度などを記録し、リスクアセスメントや管理策の検討の基礎とする。

リスクアセスメントの最初のプロセスで、リスクを発見し、認識し、記述すること。情報資産ごとに脅威と脆弱性、起こり得る事象とその結果を洗い出す。続いてリスク分析、リスク評価を行う。

特定したリスクの性質を理解し、リスクレベルを決定するプロセス。事象の起こりやすさと結果の大きさを、損失額などの数値で表す定量的分析や、「高・中・低」などの段階で表す定性的分析によって見積もる。

想定される損失に備えて、その影響を相殺したり和らげたりする手段をあらかじめ講じておくこと。取引先や拠点の分散、データの遠隔地保管、保険への加入などが当たる。リスクそのものをなくすのではなく、リスクが現実になったときの打撃を小さくする。

リスクが現実になって損失が生じたときに備えて、資金面の手当てをあらかじめ用意しておくリスク対応。保険への加入などで損失を他者に移すリスク移転と、引当金や準備金を積み立てて損失を自ら負担するリスク保有がある。損失の発生そのものを抑えるリスクコントロールと対比される。

リスクの重大さを評価するための目安となる条件。組織の目的や利害関係者の要求を踏まえて定め、情報セキュリティでは、リスクを受容するかを決めるリスク受容基準と、リスクアセスメントを実施するための基準を含む。