部門のリスク特定で「外部の攻撃者が標的型メールを送り、顧客情報が外部に送信されて、 損害賠償と信用の低下を招く」というリスクを書き出し、発生可能性を「中」と見積もった。 この記述のうち、リスク源に当たるものとして最も適切なものはどれか。

リスク源は「もと」、事象は「起きること」、結果は「受ける害」

火事にたとえると、コンロの火の不始末がもとで（リスク源）、台所が燃え（事象）、 家財が焼けて住めなくなる（結果）、という流れです。リスクを書き出すときは、 この因果の鎖を分けて捉えると、どこに手を打てばよいかが見えてきます。

リスク特定で何を洗い出すのか

リスクアセスメントの最初の段階であるリスク特定では、次のような要素を書き出します。

• リスク源: それ自体または他との組合せでリスクを生じさせる力を持つ要素（攻撃者、自然災害、操作ミスをしうる人など）
• 事象: 実際に起こること（情報の外部への送信、システムの停止など）
• 結果: 事象によって組織が受ける影響（損害賠償、信用の低下など）

次のリスク分析で、事象の起こりやすさと結果の大きさを見積もり、リスクレベルを決めます。 リスク源を押さえておくと、「攻撃者からのメールを入口で止める」のように、 もとに近いところで効く対策を考えやすくなります。

混同しやすいものとの違い

記述の部分	何に当たるか
外部の攻撃者	リスク源（リスクを生じさせるもと）
顧客情報の外部への送信	事象（起きること）
損害賠償と信用の低下	結果（組織が受ける影響）
発生可能性「中」	リスク分析で見積もった起こりやすさ

リスクの記述を因果の順に並べ、いちばん「もと」にあるものを探すと、リスク源を見分けられます。