最終更新日：2026年9月4日
fe fe-technology security risk-management
まず結論
リスクレベルとは、リスクがどれくらい大きいかを表すものです。
FEの選択肢では、次の4つを切り分けると判断しやすくなります。
弱点
→ 脆弱性
結果 × 起こりやすさ → リスクの大きさ
→ リスクレベル
判断の目安・条件
→ リスク基準
どれから対応するか
→ 優先順位
特に、「結果」「起こりやすさ」「リスクの大きさ」が出てきたら、リスクレベルを疑います。
直感的な説明
例えば、工場の重要なサーバが停止するリスクを考えます。
停止したときの影響が大きい
×
停止する可能性も高い
↓
リスクは大きい
このリスクの大きさを表したものがリスクレベルです。
ここで、
- サーバに未修正の弱点がある → 脆弱性
- このレベル以上は対策する、と決める → リスク基準
- 最優先で対応する、と順番を決める → 優先順位
というように役割が違います。
定義・仕組み
FEの過去問題では、JIS Q 27000に基づく用語として、リスクレベルが結果とその起こりやすさの組合せによって表されるリスクの大きさとして問われています。
試験対策では、式を覚えるより、次の関係を押さえる方が実用的です。
結果（影響）
＋
起こりやすさ
↓
リスクの大きさ
↓
リスクレベル
なお、実際のリスク分析では、単純な掛け算だけで決めるとは限りません。評価方法や尺度は組織・分析手法によって異なります。
IPAの「制御システムのセキュリティリスク分析ガイド」でも、リスク分析を、リスクの特質を理解してリスクレベルを決定するプロセスとして整理しています。
また、ISO/IEC 27000の現行版は2026年版です。2026年版は、従来の版よりもISMSの概要・概念・規格同士の関係の説明に重点を置く構成へ改訂されています。
科目Aでどう出る？
科目Aでは、似た用語の定義を並べて、正しいものを選ばせる形が典型です。
| 問題文の手掛かり | 判断 |
|---|---|
| 脅威に付け込まれる弱点 | 脆弱性 |
| 結果・起こりやすさ・リスクの大きさ | リスクレベル |
| 重大性を評価するための目安・条件 | リスク基準 |
| 対応すべき順番 | 優先順位 |
問題文を読んだら、まず「大きさ」「弱点」「基準」「順番」のどれを説明しているかを探します。
「リスク」という単語だけで選ばない
「リスク基準」「リスク分析」「リスク評価」など、似た言葉が多く出ます。
重要なのは語尾ではなく、何をしているかです。
リスクの大きさを決める
→ リスク分析・リスクレベル
基準と比べて許容できるか判断する
→ リスク評価
判断のものさし
→ リスク基準
どんな場面で使う？
リスクレベルは、情報セキュリティ上のリスクを比較し、どのリスクが大きいかを把握するときに使います。
例えば、
- サーバ停止
- 情報漏えい
- マルウェア感染
- 不正アクセス
など複数のリスクがある場合、それぞれについて影響や起こりやすさを評価し、対策を検討する材料にします。
ただし、リスクレベルそのものが対応方法を表すわけではありません。
リスクの大きさを把握した後に、基準と比較し、必要な対応を判断します。
よくある誤解・混同
リスクレベル = 脆弱性
違います。
脆弱性
→ 攻撃などに付け込まれる「弱点」
リスクレベル
→ リスクの「大きさ」
「弱点」と書いてあれば、リスクレベルではありません。
リスクレベル = リスク基準
ここも頻出の混同です。
リスクレベル
→ 測った結果・大きさ
リスク基準
→ その結果を判断するためのものさし
例えば、
リスクレベル：高
リスク基準：高なら対策が必要
という関係です。
リスクレベル = 対応優先順位
リスクレベルが高いものは優先されやすいですが、定義として同じではありません。
優先順位は、どれから対応するかという順番の話です。
「結果 × 起こりやすさ」を必ず数値で掛け算する
FEでは「結果と起こりやすさの組合せ」という表現を手掛かりにしますが、実務の評価方法が必ず単純な掛け算になるわけではありません。
試験では、計算式ではなく『リスクの大きさを表す』という役割を押さえれば十分です。
まとめ（試験直前用）
- 弱点 → 脆弱性
- 結果＋起こりやすさ → リスクの大きさ → リスクレベル
- 判断の目安・条件 → リスク基準
- どれから対応するか → 優先順位
- リスクレベルは「対策」ではなく、まずリスクの大きさを表すもの