リスク所有者とは？りすくしょゆうしゃ
リスク所有者とは、特定のリスクを管理する責任と、その扱いを決める権限をあわせて持つ人。リスク対応の方法を選び、対策後に残る残留リスクを受け入れるかどうかを最終的に承認する。JIS Q 27001は、リスク対応計画と残留リスクについてリスク所有者の承認を得ることを要求している。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →背景
リスクは複数の部門にまたがるため、誰の判断で受け入れたのかが残っていないと、事故が起きたときに全員が「知らなかった」と言える状態になる。権限のある1人を割り当てるのは、残留リスクを組織として引き受けたという意思表示を記録に残す手続でもある。
具体例
顧客情報システムに関するリスクであれば、そのシステムを所管する部門長がリスク所有者となり、対策の実施状況を確認したうえで残留リスクの受容を承認する。情報セキュリティ部門は対応案を作るが、承認する立場ではない。
試験での引っ掛け
対策を実行する現場担当者や、CISO・セキュリティ部門と同一とは限らない点が問われる。所有者は「実施する人」ではなく「受け入れるかを決める人」で、権限を持たない担当者を所有者に据えると受容の判断そのものができない。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。