リスク源とは？

リスク源の意味

リスクを生み出す原因となる要素のこと。人・設備・業務手順・外部環境など、そこからリスクが発生し得るものを指す。リスクを洗い出す作業は、資産ごとに「何が原因になり得るか」を挙げるところから始まる。試験では、原因であるリスク源と、その結果として生じる影響とを区別できるかが問われる。

リスク源の具体例

営業部が顧客名簿を入れたノートPCを社外に持ち出している場合、「持ち出しを認めている運用」「暗号化していない保存方法」「取扱いを教わっていない担当者」がリスク源にあたる。これらを一覧にしておくと、施錠・暗号化・教育のどれで手を打つかを決めやすくなる。

リスク源は試験でどう引っ掛けられる？

リスク源は「起きてしまった事故」や「損害額」ではなく、それを生む元になっている要因を指す。ウイルス感染という出来事そのものではなく、感染を許してしまう設定や運用のほうがリスク源である。

リスク源と関連する用語

• リスクアセスメント（リスク特定・分析・評価）
• 情報資産
• 脅威

リスク源が出た過去問

• リスクの顕在化に備えて地震保険に加入するという対応は、JIS Q 31000:2010に示されているリスク対応のうち、どれに分類されるか。

  正解：一つ以上の他者とそのリスクを共有する。

  要点：保険加入は損失負担を他者と分けるリスク共有

  JIS Q 31000のリスク対応には、回避・リスクテイク・リスク源の除去・起こりやすさの変更・結果の変更・リスクの共有・リスクの保有といった選択肢がある。保険への加入は、損失の財務的負担を保険会社という他者に肩代わりさせる行為なので「リスクの共有」（従来のリスク移転）に当たる。なお保険をかけても事象そのものの発生確率は変わらない点に注意したい。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問2（IPA）

• a〜dのうち，リスクアセスメントプロセスのリスク特定において特定する対象だけを全て挙げたものはどれか。〔特定する対象〕 a リスク対応に掛かる費用 b リスクに…

  正解：b, c, d

  要点：リスク特定ではリスク源・事象・原因と結果を洗い出す

  リスク特定は、リスクを発見し認識して記述する段階であり、リスク源、起こり得る事象、その原因と結果を洗い出す。対応に掛かる費用は、その後のリスク対応の段階で検討するものであり、特定の対象には含まれない。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問5（IPA）