リスク対応と残留リスク

要点と定義

IPAシラバス Ver.4.1の「情報セキュリティリスク対応」には、リスクコントロール、リスクファイナンシング、リスク回避、リスク共有、リスク保有、残留リスクなどが挙げられています。IPAシラバス Ver.4.1 PDFの第6頁。

保険を通じてリスクの負担を他者と分担する対応は、リスク共有です。地震保険への加入をリスク共有と判断する問題では、保険契約による負担の分担が判断の根拠になります。

保険は、損失が発生した場合の費用負担に備えるリスクファイナンシングにも該当します。損失を保険で補うことが、資金面で備える判断の根拠です。 保険による損失負担の移転をリスクファイナンシングと判断する例もあります。

リスクを生じさせる活動を始めない、または続けないと決めて、そのリスクを避けるのがリスク回避です。リスクの大きいサービスの提供をやめる判断が該当します。

リスクコントロールは、リスクの発生や顕在化後の被害を抑える対策として区別できます。過去問では、顕在化を抑える対策や、顕在化した場合の被害を小さくする設備への投資が、リスクコントロールに当たると説明されています。

残留リスクとは、リスク対応後に残るリスクです。 対応後に受容して保有したリスクも、残るなら残留リスクに含まれます。

適用条件と例

保険は、どの観点で分類するかによって説明が変わります。負担を保険者と分ける観点ではリスク共有、損失時の費用に備える観点ではリスクファイナンシングです。

例えば、店舗の水害に備えて保険を契約するなら、負担の分担という観点ではリスク共有、修理費用への備えという観点ではリスクファイナンシングです。一方、浸水を防ぐ止水板を設置する対応は、被害を抑えるリスクコントロールです。過去問では、被害を小さくする設備への投資をリスクコントロールとして区別しています。

活動そのものをやめてリスクを避けるのか、対策で発生や被害を抑えるのか、費用負担に備えるのかを、判断の目的から確認します。リスクの大きいサービスを中止する判断は回避に当たります。

JIS Q 27001:2014に関する出題では、リスク対応計画と残留リスクの受容について、リスク所有者の承認が求められると説明されています。これは出題時点の規格に基づく要件です。 同じ出題時点の要件から、受容するリスクの承認者をリスク所有者と判断します。

誤りやすい点

リスクを受容したからといって、監視やレビューの対象外になるとは限りません。JIS Q 27001:2014に関する出題では、受容したリスクを監視やレビューの対象から外す要件は示されていません。これは出題時点の規格説明です。