リスク基準

リスクの重大さを評価するための目安となる条件。組織の目的や利害関係者の要求を踏まえて定め、情報セキュリティでは、リスクを受容するかを決めるリスク受容基準と、リスクアセスメントを実施するための基準を含む。

リスクの重大性を評価するための目安とする条件（JIS Q 31000）。リスクの大きさをどう算定するか、どのレベルなら受容できるか（リスク受容基準）などを、組織の目的や法令・契約上の要求を踏まえて、リスクアセスメントの前に決めておく。

リスクの重大性を評価するための目安とする条件。リスク受容基準（組織がリスクを受け入れるかどうかの判断基準）を含み、リスクアセスメントの実施やリスク対応の判断に用いる。

リスクアセスメントの最初のプロセスで、リスクを発見し、認識し、記述すること。情報セキュリティでは、機密性・完全性・可用性の喪失につながるリスクを、情報資産、脅威、脆弱性、リスク所有者などの観点から洗い出す。

リスクアセスメントのプロセスの一つで、特定したリスクについて、起こり得る結果（影響の大きさ）と発生の可能性を見積もり、リスクレベルを決定すること。手法には、金額などの数値で表す定量的分析と、高・中・低などの段階で表す定性的分析がある。

リスクアセスメントの最後のプロセスで、リスク分析の結果をリスク基準と比較して、リスクを受容するか対応が必要かを判断し、対応の優先順位を決めること。英語ではrisk evaluationで、特定・分析・評価の全体を指すリスクアセスメント（risk assessment）とは区別する。

組織がISMSを確立し運用する対象として定める範囲。組織の内外の課題や利害関係者の要求、自組織と他の組織との間のインタフェースや依存関係を考慮して、対象とする事業、組織、拠点、情報資産、技術などの境界を決め、文書化する。ISMS認証はこの範囲について与えられる。

組織が情報セキュリティリスクを管理し、情報の機密性・完全性・可用性を維持するための、方針、体制、プロセスなどの仕組み。要求事項はJIS Q 27001（ISO/IEC 27001）で定められ、リスクアセスメントに基づいて管理策を選び、PDCAサイクルで継続的に改善する。第三者の審査を受けてISMS認証を取得できる。

組織が保有する情報資産を洗い出して一覧にした台帳。資産ごとに名称、管理責任者、保管場所、利用者の範囲、機密性・完全性・可用性から見た重要度などを記録し、リスクアセスメントや管理策の検討の基礎とする。