APセキュリティ · 情報セキュリティ管理

リスク保有

Risk Retention

りすくほゆう

リスクレベルが受容基準以下である、あるいは対策費用が損失見込みを上回るなどの理由で、特段の対策をとらずにそのまま受け入れる対応。無策の放置とは異なり、承認と記録を伴う意思決定である点が重要。

共有:

他の資格での定義

リスクを認識した上で、特段の対策を講じずに受け入れる対応方法。リスクが許容範囲内であるか、対策のコストがリスクによる損失を上回る場合に選択される。

リスクを認識した上で、特別な対策を講じずにそのリスクを受け入れること。リスクの影響が小さい場合や、対策コストがリスクの影響を上回る場合に選択される。残留リスクとして管理する。

リスクを認識したうえで、特別な対策を取らずに受け入れるリスク対応。受容ともいう。影響が小さい場合や、対策費用が想定損失を上回る場合に選ばれる。判断の記録を残すことが重要。

Past Exams

過去問で 6 回出題（ITパスポート試験 5・基本情報技術者試験 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

内部の業務手続や人、システムの不備、あるいは外生的事象によって損失が生じるリスク。事務ミス、システム障害、不正行為、災害などが含まれ、市場リスクや信用リスクと区別して管理される。

調達先や委託先、利用しているソフトウェア部品の側で生じた問題が、自組織の事業や情報セキュリティに波及するリスク。取引先経由の侵入や部品への不正コード混入が典型で、委託先の管理とSBOMによる部品把握が対策となる。

損失を直接引き起こす事故や事象そのもの。火災、地震、盗難などが該当する。損失発生の可能性を高める間接的な条件であるハザードと区別され、リスクの構造を「ハザードがペリルを招き損失に至る」と整理して理解する。

損失を直接もたらすのではなく、事故（ペリル）の発生確率や損害の大きさを高める背景的な条件。可燃物の放置、施錠の習慣がないこと、老朽化した設備などが該当し、これを取り除くことがリスク低減の基本となる。

保険に加入したことで安心し、かえって注意義務がおろそかになって事故の発生確率が高まる状態。サイバー保険でも起こりうるため、免責金額の設定や一定水準の対策の実施を加入条件とすることで抑制する。

1回当たりの予想損失額に年間発生回数を掛けて求める、リスクの定量的評価の指標。対策費用と比較して投資の妥当性を判断する材料になり、年間予想損失額の減少分が対策費用を上回れば経済的に見合うと判断する。