リスクコントロールとは？りすくこんとろーる
リスクコントロールとは、リスクが現実になる可能性、または現実になったときの被害の大きさを、管理策によって直接小さくする対応の総称。暗号化・アクセス制御・入退室管理・教育訓練・冗長化などが該当し、リスク対応を「事象そのものに働きかける側」と「損失を金銭で埋める側」に分けたときの前者にあたる。回避・低減・共有・保有の選択肢のうち、低減の中核をなす。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
セキュリティ対策の予算は限られ、すべての脅威を封じることはできない。どの対策がどのリスクの発生確率や影響を下げるのかを整理しないと、目立つ脅威にだけ費用が偏る。リスクアセスメントで求めたリスクレベルに対し、管理策で下げる部分と、保険などで備える部分を切り分ける枠組みが必要になった。支援士では、管理策の選定理由を説明させる形で問われる。
具体例
Microsoft 365 の条件付きアクセスは、社外からの接続に多要素認証を要求し、管理外端末からのダウンロードを禁止する設定を持つ。これは標的型メールで認証情報が盗まれたときに、不正ログインが成立する確率と、成立したときに持ち出せる情報の範囲の両方を下げる、典型的なリスクコントロールである。
試験での引っ掛け
サイバー保険への加入を管理策の一つとして選ばせる問題がある。保険は損失を金銭で埋めるリスクファイナンシングであり、不正アクセスの発生確率も漏えい件数も変えないため、リスクコントロールには分類されない。また「リスク回避」は活動そのものをやめる選択で、管理策で下げる「低減」とは別の対応である。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。