リスク源とは？

リスク源の意味

リスクを生み出す原因となる要素のこと。人・設備・業務手順・外部環境など、そこからリスクが発生し得るものを指す。リスクを洗い出す作業は、資産ごとに「何が原因になり得るか」を挙げるところから始まる。試験では、原因であるリスク源と、その結果として生じる影響とを区別できるかが問われる。

リスク源の具体例

営業部が顧客名簿を入れたノートPCを社外に持ち出している場合、「持ち出しを認めている運用」「暗号化していない保存方法」「取扱いを教わっていない担当者」がリスク源にあたる。これらを一覧にしておくと、施錠・暗号化・教育のどれで手を打つかを決めやすくなる。

リスク源は試験でどう引っ掛けられる？

リスク源は「起きてしまった事故」や「損害額」ではなく、それを生む元になっている要因を指す。ウイルス感染という出来事そのものではなく、感染を許してしまう設定や運用のほうがリスク源である。

リスク源と関連する用語

• 情報資産

リスク源が出た過去問

• JIS Q 27000における情報セキュリティリスクに関する定義のうち，適切なものはどれか。

  正解：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見・認識・記述する工程

  JIS Q 27000では、リスク特定はリスクを発見し、認識し、記述するプロセスと定義され、リスク源や事象、原因、起こり得る結果の洗い出しを含みます。脅威と脆弱性の定義、リスク評価とリスク対応の区別が問われています。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する記述のうち，適切なものはどれか。

  正解：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクの発見・認識・記述のプロセス

  JIS Q 27000では、リスク特定を「リスクを発見し、認識し、記述するプロセス」と定義し、リスク源・事象・原因・起こり得る結果の特定を含むとしている。なお脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に悪用され得る資産や管理策の弱点であり、両者の定義を取り違えないことが重要である。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）

• 個人情報の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。

  正解：収集済みの個人情報を消去し，新たな収集を禁止する。

  要点：リスク回避は活動をやめてリスク源をなくす対応

  リスク回避は、リスクを生む活動そのものをやめてリスク源を取り除く対応です。個人情報を消去し新たな収集を禁止すれば、漏えいするデータ自体が存在しなくなります。低減・共有・受容との区別が問われています。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問9（IPA）

• JIS Q 27000:2019 (情報セキュリティマネジメントシステム-用語) の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見し認識し記述する最初の工程

  リスク特定は、リスクマネジメントプロセスの最初の段階で、どんなリスクが存在するかを見つけ出し、認識し、記述する活動である。リスク源、起こり得る事象、その原因および結果を洗い出すことが含まれ、ここで漏れがあると後続の分析や評価でも扱えない。なお、脅威は損害をもたらし得る事象の潜在的な原因、脆弱性は付け込まれ得る弱点であり、両者の定義は取り違えやすい。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見・認識・記述するプロセス

  JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）