リスク所有者とは？りすくしょゆうしゃ
リスク所有者とは、JIS Q 27001（ISMS）で、あるリスクを管理する説明責任と権限を持つ者として定められた役割。リスク対応計画と残留リスクを承認するのがこの人であり、ISMSはリスクアセスメントの段階でリスクごとに所有者を特定することを要求する。支援士試験では「誰が残留リスクを受容したか」を問う形で出る。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
リスクを洗い出して対策を並べても、「このリスクは誰の責任か」が決まっていないと、対策を実行する担当と、残ったリスクを引き受ける判断者が宙に浮く。JIS Q 27001の2013年改訂でリスク所有者の特定が明示的な要求事項になり、リスクを「セキュリティ部門の問題」から「その業務を所管する責任者の問題」へ引き戻した。支援士は助言する立場で、リスクを受容する権限は持たない。
具体例
顧客情報を扱うWeb受注システムなら、そのシステムを所管する営業本部長がリスク所有者となり、CSIRTや情報システム部が提案した対策の実施状況を確認し、残ったリスクを受容するかを承認する。ISMS認証を取得している組織では、リスク登録簿の各行に所有者名を記載し、審査で確認される。
試験での引っ掛け
対策を実行する現場担当者やセキュリティ部門と、リスクを受容する権限を持つ所有者は別の役割で、同一人物とは限らない。所有者は資産の所有者（情報資産の管理責任者）とも概念が違い、1つの資産に複数のリスクがあれば所有者が異なることもある。支援士や監査人が所有者を兼ねるのは役割の混同である。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。