正解：ウ
各選択肢の解説
アリスクを見つけて報告した、情報システム部の担当者。
誤り。リスクを見つけた人と、リスクを管理する人は別です。担当者は特定に関わりましたが、 対策に予算を割くか、残るリスクを受け入れるかを決める権限は持っていません。 所有者は「見つけた人」ではなく「決められる人」から選びます。
イ独立した立場でリスク管理の状況を点検する、内部監査室長。
誤り。内部監査はリスク管理が適切に行われているかを外から確かめる立場です。 監査人がリスクの対応を決めてしまうと、自分の決めたことを自分で点検することになり、 独立性が失われます。点検する側と管理する側は分けておきます。
ウそのリスクへの対応を決める権限と責任を持つ、営業部長。
正解。リスク所有者は、そのリスクを管理する責任と権限を持つ人です。 顧客情報を使う業務の責任者が、対応の要否や残るリスクの受容を決めます。
エ保守契約を結んでシステムを直接扱う、委託先の責任者。
誤り。委託先は契約の範囲で作業を担いますが、リスクを管理する責任までは移りません。 顧客情報が漏れたときに説明する責任を負うのは委託元の組織です。 委託先には対策の実施を求めても、どこまで受け入れるかは組織の側で決めます。
理解を深めるために
リスク所有者は「見つけた人」ではなく「決められる人」
家の雨漏りを見つけたのが近所の人でも、修理するか、しばらく我慢するかを決めるのは家の持ち主です。 リスクも同じで、気づいた人と決める人は違います。リスク所有者は、そのリスクを管理する責任と権限を持つ人、 つまり「対策にお金をかけるか」「このまま受け入れるか」を決められる人です。
なぜ業務の責任者が所有者になるのか
情報セキュリティリスクアセスメントでは、リスクを特定するときに、それぞれのリスクの所有者も決めます。 所有者には、次のような判断が求められます。
- リスク対応の計画を承認する
- 対策をしても残るリスク（残留リスク）を受け入れるかを決める
- 業務の都合と対策の負担を比べて優先順位を付ける
どれも、その業務の目的と予算に責任を持つ人でなければ決められません。この場面では、顧客情報を使って 営業活動をしているのは営業部なので、営業部長が所有者になります。システムを運用する情報システム部は、 所有者の判断に必要な情報を出し、決まった対策を実施する役割です。
混同しやすいものとの違い
| 立場 | リスクとの関わり |
|---|---|
| 営業部長（業務の責任者） | 対応の要否と残るリスクの受容を決める（リスク所有者） |
| 情報システム部の担当者 | リスクを見つけ、分析の材料を出す |
| 内部監査室長 | 管理が適切かを独立した立場で点検する |
| 委託先の責任者 | 契約の範囲で作業を担う。管理の責任は移らない |
「誰がそのリスクを受け入れると言えるか」を考えると、所有者を選び分けられます。