リスク所有者とは？りすくしょゆうしゃ
リスク所有者は、特定のリスクについて、対応する責任と、対応の方法を決める権限を持つ人。「対策をしてもなお残るリスク（残留リスク）をこのまま受け入れてよいか」を最終的に判断するのがこの人で、通常はそのリスクが関わる業務やシステムの責任者（部門長など）が務める。ISMS（情報セキュリティマネジメントシステム）のリスクアセスメントで、見つけたリスクごとに必ず一人決める。
最終更新：2026-10-09
基本情報を最短で暗記・合格する →背景
リスクは見つけただけでは誰も動かず放置される。「誰が判断するか」が決まっていないと、現場は勝手に受け入れることも対策に予算を使うこともできない。そこでISO/IEC 27001:2013（日本ではJIS Q 27001:2014として規格化）は、リスクアセスメントの要求事項に「リスク所有者を特定する」ことを加えた。基本情報のシラバスは「情報セキュリティリスクアセスメント」の用語例にリスク基準・リスクレベル・リスク源と並べてリスク所有者を置いている。
具体例
大学の履修登録システムに「4月の集中アクセスで落ちる」というリスクがあるなら、その所有者は情報センター長で、サーバを増強する予算を出すか、落ちたら窓口で手作業で受け付けると決めて受け入れるかを判断する。実際に増強の作業をするのは担当のエンジニアで、判断する人と手を動かす人は別になる。
試験での引っ掛け
対策を実行する現場の担当者と、残ったリスクを受け入れる権限を持つリスク所有者は、同じ人とは限らない。また「情報システム部門がすべてのリスク所有者」も誤りで、業務に関わるリスクはその業務の責任者が持つ。組織全体のセキュリティ責任者（CISO：最高情報セキュリティ責任者）が全リスクの所有者になるわけでもない。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。