残留リスクとは？

残留リスクの意味

リスク対応を実施した後もなお残るリスク。対策によってリスクをゼロにすることは通常できないため、対応後にどの程度のリスクが残るかを把握し、受容できる水準かを判断する必要がある。

残留リスクの具体例

侵入検知システムを導入しても未知の攻撃手法によるリスクはゼロにならず、その残った部分が残留リスクとしてリスク所有者の判断対象になる。

残留リスクは試験でどう引っ掛けられる？

対策を講じれば残留リスクは常にゼロになると誤解しやすいが、実際にはリスクを完全に消すことは困難であり、残留リスクの管理も継続的な課題である。

残留リスクと関連する用語

• リスク対応（低減・回避・移転・受容）
• リスク所有者

残留リスクが出た過去問

• JIS Q 31000:2010における残留リスクの定義はどれか。

  正解：リスク対応後に残るリスク

  要点：残留リスクは対策後も残り、受容には承認が要る

  残留リスクとは、リスク対応を実施した後になお残っているリスクを指す。対策を打っても発生確率や影響をゼロにできることはまれで、費用対効果の観点から一定の残留リスクは受容するのが通例である。ただし受容にあたっては、そのリスクを認識し、責任者が承認するという手続きが求められる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）

• JIS Q 27001において、リスクを受容するプロセスに求められるものはどれか。

  正解：受容するリスクについては、リスク所有者が承認すること

  要点：残留リスクの受容にはリスク所有者の承認が必要

  JIS Q 27001では、リスク対応の結果として残った残留リスクをリスク所有者が承認することを求めている。リスクを受け入れるという判断は組織としての意思決定であり、その責任を負うリスク所有者の承認が必須となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体…

  正解：リスク所有者

  要点：リスク所有者はリスク管理の説明責任と権限をもつ主体

  リスク所有者とは、リスクを運用管理することについて、説明責任（アカウンタビリティ）と、そのために必要な権限をもつ人または主体をいう。リスク対応計画や残留リスクの承認を行うのもこのリスク所有者である。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）

• JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)において、リスクを受容するプロセスに求められるものはどれか。

  正解：受容するリスクについては、リスク所有者が承認すること

  要点：残留リスクの受容はリスク所有者が承認する必要がある

  ISMSではリスク対応後に残る残留リスクを受容するかどうかを判断するが、その承認はリスク所有者(リスクを管理する責任と権限をもつ者)が行うことが求められる。担当者の判断で勝手に受容するのではなく、責任者が明示的に承認する点が要求事項の要である。受容したリスクも監視・レビューの対象から外れるわけではない。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問3（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では、リスクを運用管理することについて、アカウンタビリティ及び権限をもつ人又は主体…

  正解：リスク所有者

  要点：リスクの運用管理に責任と権限をもつ主体がリスク所有者

  リスクを運用管理することについてアカウンタビリティと権限をもつ人または主体を、JIS Q 27000ではリスク所有者と呼ぶ。リスクアセスメントの結果やリスク対応計画、残留リスクの受容についてはリスク所有者の承認が求められる。監査員や利害関係者はリスクを管理する立場ではない点に注意する。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）