情報セキュリティマネジメント 2019年 春期 午前（科目A） 問07

リスク所有者【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文で問われている条件を探す：運用管理（実際に管理・対応を行う）＋アカウンタビリティ（責任）＋権限を持つ人物・主体。
2. 各選択肢の用語の意味を確認する。
   • 監査員：評価や検査を行う人で、運用の実務責任者ではない。
   • トップマネジメント：組織全体の経営層であるが、個別リスクの運用管理者とは限らない。
   • 利害関係者：関係はあるが、必ずしも責任と権限を持つわけではない。
   • リスク所有者：運用管理・責任・権限を持つ主体。
3. 上の照合で当てはまるのは「リスク所有者」なので選ぶ。

選択肢別の誤答解説

• ア: 監査員
  • 意味：監査を実施する人。監査員は運用の適合性を検証する立場であり、具体的なリスク対応の決定・実行の責任や権限は持たない。
  • なぜ不正解か：「評価者」であって「運用管理者」ではないため。
• イ: トップマネジメント
  • 意味：組織の経営層（例：社長や役員）。ISMS（Information Security Management System：情報セキュリティマネジメントシステム）の方針設定など総合的責任を負う。
  • なぜ不正解か：企業全体の最高責任は持つが、個別リスクごとに実務の運用管理・意思決定を行う「所有者」とは役割が異なる。トップマネジメントがリスク所有者になる場合もあるが、定義として合致しない。
• ウ: 利害関係者
  • 意味：業務に関係のある人・組織（顧客、取引先、従業員など）。
  • なぜ不正解か：関係はあるが、必ずしも責任と権限を持ってリスクを管理する主体ではない。
• エ: リスク所有者
  • 意味：リスク（risk）の運用管理に対して責任（アカウンタビリティ）と必要な権限を持つ人または主体。
  • なぜ正しいか：定義が問題文の条件と一致するため。リスク対応の方針決定、受容（acceptance）、対応策の実行や監視を行う主体とされる。

よくある誤解

1. トップマネジメントと混同する
   • トップは組織全体の方針責任者で、すべてのリスクの運用管理者とは限りません。個々のリスクごとに担当（リスク所有者）を明確にするのが実務です。
2. 監査員がリスクを「管理する」と誤解する
   • 監査員は監視・評価をするだけで、リスク処理の決定権や実行責任は持ちません。

補足コラム

FAQ