問題 No.4938
情報セキュリティリスクアセスメントおよびリスク対応のプロセスにおいて、特定されたリスクに対してその損失や利益を最終的に引き受ける責任を持つ、組織内の役割または個人を指すものはどれか。
【正解の解説】
リスク所有者
会社経営における「事業のオーナー（経営者や部長など）」に似ています。例えば、新しいシステムを導入する際、その便利さという利益だけでなく、万が一情報漏洩が起きた場合の責任や損害を最終的にかぶる（引き受ける）決定権を持った立場の人のことです。現場で作業をする人ではなく、リスクの最終的な決済権を持つ人を指します。
スポンサーリンク
【その他の選択肢の解説】
リスク管理者
試験でよく出る「リスク所有者」との違いとして、管理者はあくまで実務的な管理を行う担当者やマネージャーを指すことが多く、最終的な責任（損失を引き受ける権限）を持つ所有者とは区別されます。オーナーではなく、いわば現場の管理人や実行隊長のようなポジションです。
リスク担当者
現場でセキュリティソフトを入れたり、手順書を作ったりする作業スタッフをイメージしてください。彼らは指示を受けて手を動かす立場であり、万が一の事故が起きたときに経営的な責任を最終的に引き受ける「リスク所有者」とは権限の重みが全く異なります。
リスク利用者
単にシステムや情報資産を使う立場の人々であり、セキュリティポリシーに従って業務を行う側の人を指します。リスクアセスメントの結果や損失の引き受けを決定するマネジメント層の役割とは異なるため、組織図上の位置づけを混同しないように注意が必要です。