リスク源とは？りすくげん
リスク源とは、それ単独で、または他と組み合わさってリスクを生じさせる潜在的な要素。人・設備・業務手順・外部環境などが該当し、リスクアセスメントは資産ごとに「何が原因になり得るか」を挙げるところから始まる。原因であるリスク源と、その結果として生じる影響とを区別できるかが問われる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
リスクを「起きた事故」で数えると、まだ起きていない危険を扱えない。原因の側を洗い出しておけば、対策をどこへ打つかが具体的に決まる。ISO 31000／JIS Q 31000が用語を整理したのは、組織ごとに「危険」「脅威」「原因」の使い方がばらばらで、リスク対応の議論がかみ合わなかったためである。
具体例
クラウドの共有ストレージを部門ごとに自由に作れる運用では、「誰でも外部を招待できる既定設定」「退職者のアカウントを止める手順が無いこと」「公開リンクに期限を決めていないこと」がリスク源にあたる。原因の側にそろえて並べておくと、設定の制限・棚卸しの定例化・期限の既定値のどれで手を打つかを決めやすい。
試験での引っ掛け
リスク源は「起きてしまった事故」や「損害額」ではなく、それを生む元になっている要因を指す。マルウェア感染という出来事そのものではなく、感染を許す設定や運用のほうがリスク源である。脅威（外から働きかける要因）と脆弱性（受け手側の弱さ）は、どちらもリスク源になりうる要素として整理する。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する記述のうち，適切なものはどれか。
正解：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクの発見・認識・記述のプロセス
JIS Q 27000では、リスク特定を「リスクを発見し、認識し、記述するプロセス」と定義し、リスク源・事象・原因・起こり得る結果の特定を含むとしている。なお脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に悪用され得る資産や管理策の弱点であり、両者の定義を取り違えないことが重要である。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）解説で登場
個人情報の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。
正解：収集済みの個人情報を消去し，新たな収集を禁止する。
要点：リスク回避は活動をやめてリスク源をなくす対応
リスク回避は、リスクを生む活動そのものをやめてリスク源を取り除く対応です。個人情報を消去し新たな収集を禁止すれば、漏えいするデータ自体が存在しなくなります。低減・共有・受容との区別が問われています。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
JIS Q 27000:2019 (情報セキュリティマネジメントシステム-用語) の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクを発見し認識し記述する最初の工程
リスク特定は、リスクマネジメントプロセスの最初の段階で、どんなリスクが存在するかを見つけ出し、認識し、記述する活動である。リスク源、起こり得る事象、その原因および結果を洗い出すことが含まれ、ここで漏れがあると後続の分析や評価でも扱えない。なお、脅威は損害をもたらし得る事象の潜在的な原因、脆弱性は付け込まれ得る弱点であり、両者の定義は取り違えやすい。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクを発見・認識・記述するプロセス
JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。