サプライチェーンリスク

調達先や委託先を経由して自組織が被害を受けるリスク。取引先を踏み台にした侵入や、部品・サービスの供給停止が該当し、委託先の管理と契約による統制が対策となる。

製品やサービスの調達、製造、配送に関わる取引先や委託先のつながり（サプライチェーン）を通じて生じるリスク。取引先の被災による部品の供給停止や、セキュリティ対策の弱い委託先や組み込まれたソフトウェアを経由した攻撃・情報漏えいなどがある。

委託先やビジネスパートナー、製品・サービスの提供元を経由して発生する情報セキュリティリスク。委託先からの情報漏洩、ソフトウェアの脆弱性の混入、悪意あるコードの埋め込みなどが含まれる。SBOMの活用やセキュリティ要件の契約明記が対策となる。

委託先やビジネスパートナー、製品・サービスの提供元を経由して発生する情報セキュリティリスク。委託先からの情報漏洩、ソフトウェアの脆弱性の混入、悪意あるコードの埋め込みなどが含まれる。SBOMの活用やセキュリティ要件の契約明記が対策となる。

製品やサービスの調達、製造、提供に関わる取引先や委託先、利用しているソフトウェアやクラウドサービスなどを経由して、自組織が損害を受けるリスク。セキュリティ対策の弱い取引先が攻撃の踏み台にされる事例や、供給の停止による事業の中断などがあり、委託先の管理や評価制度の活用で対策する。

内部の業務手続や人、システムの不備、あるいは外生的事象によって損失が生じるリスク。事務ミス、システム障害、不正行為、災害などが含まれ、市場リスクや信用リスクと区別して管理される。

損失を直接引き起こす事故や事象そのもの。火災、地震、盗難などが該当する。損失発生の可能性を高める間接的な条件であるハザードと区別され、リスクの構造を「ハザードがペリルを招き損失に至る」と整理して理解する。

損失を直接もたらすのではなく、事故（ペリル）の発生確率や損害の大きさを高める背景的な条件。可燃物の放置、施錠の習慣がないこと、老朽化した設備などが該当し、これを取り除くことがリスク低減の基本となる。

保険に加入したことで安心し、かえって注意義務がおろそかになって事故の発生確率が高まる状態。サイバー保険でも起こりうるため、免責金額の設定や一定水準の対策の実施を加入条件とすることで抑制する。

1回当たりの予想損失額に年間発生回数を掛けて求める、リスクの定量的評価の指標。対策費用と比較して投資の妥当性を判断する材料になり、年間予想損失額の減少分が対策費用を上回れば経済的に見合うと判断する。

リスクの結果の大きさと、その起こりやすさの組合せで表されるリスクの大きさ。リスク分析で算定し、あらかじめ定めたリスク受容基準と照らして対応の要否と優先順位を決める。