代替統制（補完統制）とは？だいたいとうせい
代替統制（補完統制）とは、本来望ましい統制をコストや人員の制約で実施できないときに、同等のリスク低減効果を得る目的で設ける別の統制。小規模組織で職務分掌が組めない場合や、パッチを当てられないレガシー機器の脆弱性に対して監視強化やネットワーク分離で埋め合わせる場合が典型。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
「申請者と承認者を分ける」「即座にパッチを当てる」が教科書どおりにできない現場は多い。できないから何もしない、では監査で不備になるので、別の手段で同じリスクを抑え、その根拠を説明できる状態にするのが代替統制の考え方。支援士試験では、脆弱性対応の緩和策や制御システムの延命運用の文脈で、本来統制との等価性をどう示すかが問われる。
具体例
PCI DSSは要件を満たせない場合に「代替コントロール」を認め、ワークシートで同等性の根拠を求める。EOLを迎えたWindows Serverを更新できない工場のシステムで、VLAN分離とIPS配置、ログ監視の強化を組み合わせ、パッチ未適用のリスクを抑える運用がこれに当たる。
試験での引っ掛け
「本来の統制を省いてよい」根拠にはならない。同等のリスク低減効果を説明できて初めて有効とされ、監査ではその効果が実際に働いている証跡まで求められる。「監視を強化した」と言うだけで検知後の対応手順が無いものは、代替統制とは認められない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。