リスク所有者とは？

リスク所有者の意味

特定のリスクを管理する責任と権限を持つ者。リスク対応の方法を決定し、残留リスクを受容するかどうかを最終的に判断する立場にある。

リスク所有者の具体例

顧客情報システムに関するリスクであれば、そのシステムを所管する部門長がリスク所有者となり、対策の実施状況を確認し、残ったリスクを受容するかどうかを承認する。

リスク所有者は試験でどう引っ掛けられる？

リスク対応を実行する現場担当者と、リスクを受容する権限を持つリスク所有者は必ずしも同一人物ではない点に注意が必要。

リスク所有者と関連する用語

• リスク対応（低減・回避・移転・受容）
• 残留リスク

リスク所有者が出た過去問

• JIS Q 27001において、リスクを受容するプロセスに求められるものはどれか。

  正解：受容するリスクについては、リスク所有者が承認すること

  要点：残留リスクの受容にはリスク所有者の承認が必要

  JIS Q 27001では、リスク対応の結果として残った残留リスクをリスク所有者が承認することを求めている。リスクを受け入れるという判断は組織としての意思決定であり、その責任を負うリスク所有者の承認が必須となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体…

  正解：リスク所有者

  要点：リスク所有者はリスク管理の説明責任と権限をもつ主体

  リスク所有者とは、リスクを運用管理することについて、説明責任（アカウンタビリティ）と、そのために必要な権限をもつ人または主体をいう。リスク対応計画や残留リスクの承認を行うのもこのリスク所有者である。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）

• JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)において、リスクを受容するプロセスに求められるものはどれか。

  正解：受容するリスクについては、リスク所有者が承認すること

  要点：残留リスクの受容はリスク所有者が承認する必要がある

  ISMSではリスク対応後に残る残留リスクを受容するかどうかを判断するが、その承認はリスク所有者(リスクを管理する責任と権限をもつ者)が行うことが求められる。担当者の判断で勝手に受容するのではなく、責任者が明示的に承認する点が要求事項の要である。受容したリスクも監視・レビューの対象から外れるわけではない。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問3（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では、リスクを運用管理することについて、アカウンタビリティ及び権限をもつ人又は主体…

  正解：リスク所有者

  要点：リスクの運用管理に責任と権限をもつ主体がリスク所有者

  リスクを運用管理することについてアカウンタビリティと権限をもつ人または主体を、JIS Q 27000ではリスク所有者と呼ぶ。リスクアセスメントの結果やリスク対応計画、残留リスクの受容についてはリスク所有者の承認が求められる。監査員や利害関係者はリスクを管理する立場ではない点に注意する。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム-要求事項）において、リスクを受容するプロセスに求められるものはどれか。

  正解：受容するリスクについては、リスク所有者が承認すること

  要点：残留リスクの受容はリスク所有者の承認が必須

  ISMSではリスク対応の結果として残る残留リスクを受け入れる際、その責任を負うリスク所有者が承認することを求めている。リスクを受け入れる判断は組織の資源配分に関わるため、実務担当者ではなく責任と権限をもつ者が行う必要があるからである。受容後もリスクは消滅しないので監視とレビューは継続し、受容の判断はリスクアセスメント（特定・分析・評価）を経た上で行う。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問1（IPA）