【情報セキュリティマネジメント】残留リスクとリスク受容、対策済みは受容の理由にならない｜再評価・受容基準・リスク所有者

管理策を導入しても、それだけでリスク対応が完了するとは限りません。

例えば、多要素認証を導入しても不正利用の可能性が完全になくなるとは限らず、バックアップを取得しても復旧までの業務停止や直近データの損失が残る場合があります。

重要なのは、対策後に残るリスクを再評価し、受容基準と比較し、リスク所有者がその扱いを判断することです。

読み終えるころには、事例の対応が「実施済みだから終わり」になっていないかを見分け、誰が受容を判断すべきかを自分で確認できるようになります。

先に結論：対策後は三つを確認する

「対策を実施したから」は、残留リスクを受容できる理由にはなりません。

1．残留リスクはリスク対応後に残るリスク

残留リスクは、リスク対応を実施した後にも残っているリスクです。

例えば、不正アクセス対策として多要素認証、アクセス権制限、ログ監視を導入しても、

• 利用者が不正な認証要求を承認する
• 正当な権限が悪用される
• 監視で異常を見逃す
• 新しい攻撃手法に管理策が対応できない

といった可能性が残ることがあります。

したがって、「適切な対策を行えば残留リスクは必ずゼロになる」という理解は適切ではありません。

一方、特定の活動を終了してリスクを回避した場合など、対象となるリスクが実質的になくなることもあります。残留リスクは必ずゼロにならない、と反対方向へ断定する必要もありません。

2．管理策を実施したら、残ったリスクを再評価する

リスク対応後は、管理策の実施結果を踏まえてリスクを改めて評価します。

確認する例は次のとおりです。

• 管理策が計画どおり実施されたか
• 発生可能性はどの程度変わったか
• 発生した場合の影響はどの程度変わったか
• 管理策が想定どおり機能しているか
• 新しいリスクや業務上の支障が生じていないか

「対策したから安全になったはず」ではなく、対策後の状態を基に残留リスクを確認することがポイントです。

受容基準を超えるなら、実施済みでも終わりではない

残留リスクが受容可能な水準まで下がっていなければ、追加の管理策、対応方法の変更、活動の見直しなどを検討します。

JIPDECの現行ISMSユーザーズガイドでも、リスク対応計画によって、管理策の実施状況だけでなく、対策を実施しても残留リスクが受容可能な水準以下になっていないリスクへの追加対策の進捗を把握できると説明されています。

3．リスク受容基準は「受け入れられる水準」を判断する基準

現行SGシラバスVer.4.1では、リスク基準の例として、

• リスク受容基準
• 情報セキュリティリスクアセスメントを実施するための基準

が明示されています。

リスク受容基準は、残留リスクを受容するかどうかを判断するための基準です。

基準を定める際は、例えば次を考慮します。

• 組織の目的・情報セキュリティ目的
• 組織の内部・外部の状況
• 法令・規制上の要求
• 契約上の義務
• 利害関係者の見解
• どのリスクレベルまで受容可能とするか

点数や金額だけで決まるとは限りません。

評価結果に合わせて基準を動かさない

「このリスクを受容したいから基準を緩める」という運用では、評価の一貫性が失われます。

事業環境や法令などの変化によって基準そのものを見直すことはありますが、特定のリスクを通すために恣意的に変更するものではありません。

リスク基準を確立するタイミングや、リスク特定・分析・評価との関係は「リスクアセスメントの全体像」の記事で扱います。

4．評価結果は一貫して比較できるようにする

情報セキュリティリスクアセスメントは、繰り返し実施した場合にも一貫性・妥当性があり、以前の結果と比較できることが重要です。

複数部門が異なる尺度を使う場合も、全社で優先順位や受容可否を判断できるよう、

• 共通の評価基準を使う
• 部門固有の尺度を共通尺度へ換算する
• 例外条件や承認方法を定める

など、比較可能な方法を用意します。

他社の基準は参考にはできますが、自組織の目的、要求事項、内部・外部状況が異なるため、そのまま無条件に流用するのは適切ではありません。

5．リスク受容の意思決定はリスク所有者が行う

ここは試験上、特に重要です。

現行JIPDECガイドでは、リスク受容の意思決定はリスク所有者が行うと説明されています。

リスク所有者は、リスクに対する責任及び権限を負う組織又は管理者です。

また、JIS Q 27001に基づく情報セキュリティリスク対応では、リスク対応計画と残留リスクの受容について、リスク所有者の承認を得ることが求められます。

したがって、

リスク所有者は管理だけを行い、残留リスクの受容は常に別の役割が最終承認する

という一般化は適切ではありません。

組織内に部門長・経営層など複数の承認階層がある場合も、誰がどのリスクに対する責任と受容権限を持つリスク所有者なのかを明確にします。JIPDECガイドでは、最上位のリスク所有者はトップマネジメントになると説明されています。

6．「リスク保有」と「リスク受容」を混同しない

「リスク対応の4分類」の記事では、リスクを自組織に残す対応の選択としてリスク保有を扱いました。

本記事で扱うリスク受容は、受容基準に照らして、そのリスクを受け入れる意思決定です。

学習上は、

• 保有：リスク対応の選択肢
• 受容：基準に照らしてリスクを受け入れる判断

と分けると理解しやすくなります。

なお、「リスク受容」という語単独はSGシラバスVer.4.1の当該用語例にはありませんが、リスク受容基準、リスク所有者、残留リスクは明示されています。また、JIS Q 27001のリスク対応では残留リスクの受容が扱われます。

7．受容後も再評価する

受容したリスクを管理対象から永久に外すわけではありません。

JIS Q 27001では、情報セキュリティリスクアセスメントを、

• あらかじめ定めた間隔
• 重大な変更が提案された場合
• 重大な変化が生じた場合

に実施します。

例えば、新しい脅威・脆弱性、システム変更、組織変更、委託先変更、法令・契約の変更などによって、以前は受容可能だったリスクが受容基準を超えることがあります。

そのため、受容したリスクについても、判断の記録を残し、必要な再評価へつなげます。

リスク対応計画・リスク登録簿による具体的な管理は「リスク対応計画と管理」の記事で扱います。

8．科目Bでの使われ方

科目Bでは、対策の内容ではなく、実施した後の確認が抜けていないかを読み取る形で使われます。

1. 管理策を実施したか
2. 対策後のリスクを再評価したか
3. 残留リスクを受容基準と比較したか
4. リスク所有者が受容を判断したか
5. 変化時の再評価へつながるか

「対策を実施済みなので受容する」「受容基準を超えているが対策済みなので終了する」といった選択肢に注意します。

担当者としては、対策後の状態で残留リスクを確認し、受容基準を超えていないかを比較します。基準を超えている場合や、受容の可否を判断する必要がある場合は、担当者限りで終了とせず、リスク所有者へ報告して承認を仰ぎます。受容した後も、判断の記録を残し、変化があれば再評価へつなげます。

よくある取り違え

まとめ

• 残留リスクは、リスク対応後にも残っているリスク
• 対策の実施だけで受容可否を判断しない
• 対策後の状態を再評価し、リスク受容基準と比較する
• リスク受容基準はリスク基準の一部
• リスクアセスメントは一貫性・比較可能性を確保する
• リスク受容の意思決定はリスク所有者が行う
• リスク対応計画と残留リスクの受容について、リスク所有者の承認を得る
• 保有は対応の選択、受容は基準に照らした意思決定として区別する
• 受容後も、定期的又は重大な変化があれば再評価する
• リスク対応計画・リスク登録簿の詳細はリスク対応計画を扱う記事で整理する

関連記事

• C3-T01：情報セキュリティガバナンスと組織体制
• C3-T05：ISMSのPDCAと運用
• C4-T03：リスクアセスメントの全体像
• C4-T04：リスクの分析手法
• C4-T05：リスク対応の4分類
• C4-T07：リスク対応計画と管理
• C6-T05：原因分析と再発防止

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• JIPDEC「ISMSユーザーズガイド JIS Q 27001:2023（ISO/IEC 27001:2022）対応」

関連する問題

• 情報セキュリティマネジメント 情報資産・リスクマネジメント 択一式（応用） 第16問〜第20問
• 情報セキュリティマネジメント 情報資産・リスクマネジメント 択一式（応用） 第26問〜第30問
• 情報セキュリティマネジメント 情報資産・リスクマネジメント 一問一答 第26問〜第30問