問題 No.6863
JIS Q 27000（情報セキュリティマネジメントシステム－用語）において、それ単独で、あるいは他の要素と組み合わせて、リスクを引き起こす可能性のある潜在的な要素を指す用語はどれか。
【正解の解説】
リスク源
リスク源は、いわば「火元」や「病原菌」のようなものです。例えば、森林火災における乾燥した枯れ葉や強風のように、それ自体が直接の被害を出すわけではありませんが、何かのきっかけでトラブル（リスク）を引き起こす大元の原因となる要素を指しています。情報セキュリティで言えば、脆弱なパスワードや未対策のPCなどがこれに該当します。
スポンサーリンク
【その他の選択肢の解説】
リスクアセスメント
これは「リスクの原因」そのものではなく、「その危険がどれくらいヤバいかを調査・分析する作業」全体を指します。試験では「リスクを引き起こす要素」という原因の定義と、「リスクの大きさを分析する行為」という活動内容を混同させる典型的なひっかけとして出題されやすいため、言葉の矢印の向きをしっかり区別して覚える必要があります。
リスク受容
これは「リスクを引き起こす元の要素」ではなく、分析した結果として「対策をしないでおこう」と組織が下す意思決定の判断結果を指しています。日常の例えで言えば、風邪をひくリスク（原因はウイルス）に対して「今回は薬を飲んで寝るだけにして、医療費をかけるほどの対策はしないでおこう」と現状維持を決めるようなものです。
リスク対応
これはリスクの発生源そのものではなく、リスクが見つかったあとに「どうやってフタをするか、どうやって被害を小さくするか」という具体的な処置のアクションを指します。例えば、雨漏りというリスク源に対して、屋根を修理したりバケツを置いたりする「後片付けや対策の実行」にあたるため、原因そのものを指す用語とは明確に区別する必要があります。