リスクコントロールとは？

リスクコントロールの意味

損失が起きる可能性や、起きたときの被害の大きさそのものを、技術的・物理的・人的な手段で小さくしていく取組みのこと。入退室の管理、暗号化、教育、二重化などが該当する。金銭で備える方法と対比され、リスク対応を「事象を抑える側」と「資金で備える側」に分けたときの前者にあたる。

リスクコントロールの具体例

顧客データを扱う部屋をICカードでしか入れないようにし、持ち出すPCは暗号化を必須とし、年1回の研修を全員に受けさせる。これらはいずれも、情報漏えいという事象が起きる確率や被害範囲を直接小さくする施策である。

リスクコントロールは試験でどう引っ掛けられる？

保険への加入はリスクコントロールではなく資金面の備えに分類される。保険は損失額を補填するだけで、事故そのものの起こりやすさや被害の広がりを減らす働きはない点が区別の鍵になる。

リスクコントロールと関連する用語

• リスクファイナンシング
• リスク対応（低減・回避・移転・受容）
• 多層防御

リスクコントロールが出た過去問

• リスク対応のうち，リスクファイナンシングに該当するものはどれか。

  正解：リスクによってシステムが被害を受けた場合を想定して保険を掛ける。

  要点：リスクファイナンシングは保険など損失の資金手当てを行う対応

  リスクファイナンシングは、損失が発生したときの資金を手当てする対応であり、保険加入や引当金の準備がこれに当たる。これに対し、発生確率や影響そのものを下げる対策はリスクコントロールと呼ばれ、区別される。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問6（IPA）

• リスク対応のうち、リスクファイナンシングに該当するものはどれか。

  正解：システムが被害を受けるリスクを想定して、保険を掛ける。

  要点：リスクファイナンシングは保険等で損失を金銭的に手当てすること

  リスクファイナンシングは、リスクが顕在化したときの損失を金銭面で手当てする対応であり、保険への加入や引当金の準備が代表例である。これに対し、発生確率や被害を技術的・組織的な対策で下げるのはリスクコントロールに分類される。資金を投じるかどうかではなく、損失の補填を狙うのか発生や影響そのものを抑えるのかで区別する。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）