リスク源とは？りすくげん
リスク源とは、単独で、あるいは他と組み合わさってリスクを生じさせる潜在的な元のこと。JIS Q 27000で定義された用語で、老朽化した機器、承認の無い持出し運用、教育を受けていない担当者などが該当する。リスク特定の工程は、資産ごとにこの元を書き出すところから始まる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
以前のリスク管理は「火災」「盗難」といった出来事の名を並べるだけで、対策が「気を付ける」に落ちがちだった。実際に手を打てるのは出来事ではなく、それを生んでいる設備・運用・人の状態のほうである。原因側だけを指す語を規格に置いたことで、洗い出しと対策が同じ対象を向くようになった。試験ではリスクアセスメントの手順を並べる設問で、どの段階で何を挙げるのかを問う形で出る。
具体例
IPAが毎年公表する「情報セキュリティ10大脅威」の組織編には、テレワーク環境を狙った攻撃や内部不正が並ぶ。これを自組織に当てはめると、私物端末の業務利用を黙認している運用や、退職手続に貸与品の返却確認が無い規程が、その脅威に対応するリスク源として台帳に書き出せる。
試験での引っ掛け
リスク源は原因の側であって、発生した事象や被害額ではない。ランサムウェアに感染したという出来事や復旧費用はリスク源ではなく、サポートの切れたVPN装置を使い続けている状態のほうがリスク源にあたる。脅威・脆弱性と並べて問われるが、リスク源はその両方を含む上位の言い方である。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問2（IPA）解説で登場
リスクの顕在化に備えて地震保険に加入するという対応は、JIS Q 31000:2010に示されているリスク対応のうち、どれに分類されるか。
正解：一つ以上の他者とそのリスクを共有する。
要点：保険加入は損失負担を他者と分けるリスク共有
JIS Q 31000のリスク対応には、回避・リスクテイク・リスク源の除去・起こりやすさの変更・結果の変更・リスクの共有・リスクの保有といった選択肢がある。保険への加入は、損失の財務的負担を保険会社という他者に肩代わりさせる行為なので「リスクの共有」（従来のリスク移転）に当たる。なお保険をかけても事象そのものの発生確率は変わらない点に注意したい。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問5（IPA）
a〜dのうち，リスクアセスメントプロセスのリスク特定において特定する対象だけを全て挙げたものはどれか。 〔特定する対象〕 a リスク対応に掛かる費用 b リスク…
正解：b, c, d
要点：リスク特定ではリスク源・事象・原因と結果を洗い出す
リスク特定は、リスクを発見し認識して記述する段階であり、リスク源、起こり得る事象、その原因と結果を洗い出す。対応に掛かる費用は、その後のリスク対応の段階で検討するものであり、特定の対象には含まれない。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ リスク分析と評価（情報セキュリティリスクアセスメント）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。