解説

JIS Q 27000:2014では，リスクレベル（level of risk）を『結果（影響）とその起こりやすさ（発生可能性）の組合せとして表現される，リスクの大きさ』と定義しています。したがって正解はbです。リスクアセスメントでは，各リスクについて『影響の大きさ×発生のしやすさ』を評価してリスクレベルを求め，その大小に応じて対応の優先順位を決めます。選択肢aは『脆弱性』（脅威に付け込まれ得る資産や管理策の弱点），dは『リスク基準』（リスクの重大性を評価する目安）に近い説明であり，リスクレベルの定義ではありません。用語の定義を問う問題なので，規格の正確な文言（結果と起こりやすさの組合せ）を押さえておくことが重要です。

なぜ他の選択肢は違うのか

選択肢 ア

「脅威によって付け込まれる可能性のある，資産又は管理策の弱点」は脆弱性（vulnerability）の定義です。リスクの大きさを表すリスクレベルとは異なる用語です。

選択肢 ウ

「対応すべきリスクに付与する優先順位」はリスク対応の順位付けの考え方であり，リスクレベルそのものの定義ではありません。優先順位はリスクレベルを基に決定されます。

選択肢 エ

「リスクの重大性を評価するために目安とする条件」はリスク基準（risk criteria）に近い説明です。リスクレベルは『結果と起こりやすさの組合せ』として定義されます。

解くときのポイント

リスクレベル＝『結果（影響）×起こりやすさ（可能性）』の組合せで表すリスクの大きさ。脆弱性・リスク基準の定義と取り違えない。