情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問09

残留リスク【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワードを探す：「残留リスク」「リスク対応」「対応後」など。
2. 規格や定義を思い出す：JIS Q 31000 の基本は「リスクの識別→評価→対応→監視」。残留リスクは対応後に残るもの。
3. 選択肢を照合：対応後に残る文言がある選択肢を正解にする。似た概念（固有リスク、監査リスク、機会的リスク）と混同しない。

選択肢別の誤答解説

• ア: 監査手続を実施しても監査人が重要な不備を発見できないリスク
  → これは「監査リスク（audit risk）」に該当します。監査の手続きと検出可能性に関する概念で、JIS Q 31000 の残留リスクとは別物です。
• イ: 業務の性質や本来有する特性から生じるリスク
  → これは「固有リスク（inherent risk）」や業務特性に由来するリスクを指します。対策を行う前に存在するリスクで、対応後に残るかどうかは別問題です。
• ウ: 利益を生む可能性に内在する損失発生の可能性として存在するリスク
  → これは「事業リスク」や「投機的リスク（speculative risk）」に近い表現です。利益機会に関わるリスクで、残留リスクの定義ではありません。
• エ: リスク対応後に残るリスク
  → これが JIS Q 31000 の定義に一致します。リスク対応（低減・移転・回避・受容など）を行ったあとでも残る部分を指します。

よくある誤解

1. 「対策をすればリスクはゼロになる」と考える誤解
   • 現実にはコストや技術的限界、人的要因により完全にゼロにできないことが多いです。残った分が残留リスクです。
2. 固有リスクと残留リスクを同じとする誤解
   • 固有リスクは対応前のリスクの大きさ。残留リスクは対応後に残るもの。両者は対応プロセスでつながりますが同義ではありません。
3. 残留リスクは放置してよいという誤解
   • 残留リスクは経営判断で「受容（accept）」するか、さらに対応（例えば保険で移転）するかを決め、記録・監視する必要があります。

補足コラム

• リスク対応の代表的手段（リスクトリートメントの種類）
  1. 回避（Avoid）：リスク源となる活動をやめる。
  2. 低減（Reduce／Mitigate）：対策で発生確率や影響を下げる。
  3. 移転（Transfer）：保険や外部委託で影響を他者に移す。
  4. 受容（Accept）：コスト対効果や業務重要度により残す（管理下に置く）。
• 職場での運用イメージ
  • 情報セキュリティの評価を行い、対策を実施した後に残るリスクは「リスクレジスター（リスク台帳）」に記録します。経営層が受容の承認を出すことが多く、定期的に状況を見直します。
• 残留リスクがゼロになることは稀
  • 例えば、ファイアウォールとアクセス制御で多くの攻撃を防げても、人為的ミスや未知の脆弱性（ゼロデイ）からのリスクは残ります。これが残留リスクです。

FAQ