どこまで対策し、何を引きうける？——管理策の選び方・費用・適用宣言書・サイバー保険｜支援士解説1の3

この記事の重要度：Cランク（主に午前II（科目A-2）で問われる論点。午後では問題文の前提として読めれば十分）

この記事で分かること：

• リスクコントロールとリスクファイナンシング、低減の手法（損失予防・損失軽減・分離・集中）

• 管理策を「どこに効くか」で選び、費用を導入後まで含めて比べる方法

• ISMSでの管理策の決定から適用宣言書・残留リスクの承認までの流れと、サイバー保険の読み方

シラバスとの対応：小項目1-3「情報セキュリティリスク対応」。リスクの特定・分析・評価と、リスク対応の4分類（低減・回避・移転・保有）、残留リスクの基本は支援士解説1の2で扱います。この記事はその続きです。

リスクを評価し、「この申請サービスの情報漏えいのリスクは高い」と分かったとします。次に決めることは、どの対策を、いくらで、誰が、いつまでに行い、それでも何が残り、誰がそれを引き受けるかです。

リスク対応の4分類（低減・回避・移転・保有）と残留リスクは、午後でも問われる重要な論点なので、支援士解説1の2にまとめました。この記事では、その先の「対応を実行できる計画にする」部分を、午前IIで問われる用語に沿って整理します。

1. リスク対応の全体像：4分類の復習と、二つの働き

リスク対応の4分類を、短く復習します（詳しくは支援士解説1の2）。

• 低減：対策で、起こりやすさや被害を小さくする

• 回避：リスクの原因になる業務や接続そのものをやめる

• 移転：契約などで、リスクを第三者に移す。保険への加入、専門の事業者への委託。リスクマネジメントの規格（JIS Q 31000）などでは「リスクの共有」とも呼ぶ。委託しても、委託元の責任のすべてが移るわけではない

• 保有：対策をとらずにリスクを受け入れ、損失が起きたら自ら負担する（リスク受容）

教科書では、リスク対応を働きの違いから二つに分けて説明しています。

• リスクコントロール：物理的・技術的・運用管理的な対策で、リスクの発生を抑えたり、損失を小さくしたりする。一般的なセキュリティ対策の多くはこちら。手法として、回避、低減、移転（業務の外部委託など）がある

• リスクファイナンシング（リスクファイナンス）：リスクが現実になって損失が出たときに備えて、損失の補塡や対応の費用を確保しておく。手法として、保有（引当金や積立金で自ら負担する）と、移転（保険を使って損失の負担を外部に移す）がある

同じ「移転」でも、業務を委託して作業を移すのはコントロールの側、保険で損失の負担を移すのはファイナンシングの側です。地震のように、めったに起きないが起きれば被害が大きいリスクには、コントロールに加えてファイナンシングでも備えます。どちらを尽くしても残るリスクが残留リスクです。

呼び方は資料によって違います。教科書では、プロジェクトマネジメントの知識体系であるPMBOKのリスクへの対応戦略を、回避、転嫁（第三者に移す）、軽減（発生確率と影響を受け入れられる水準まで下げる）、受容の四つで説明しています。リスクマネジメントの汎用的な原則と指針を示すISO 31000（JIS Q 31000）は、あらゆる組織のリスクを対象にした規格で、認証のための規格ではありません。言葉が違っても、何をする対応かで見分けます。

低減の手法は、さらに四つに分けられます。

• 損失予防：損失が起きる頻度を減らす。例：保守点検を徹底して機器の故障を防ぐ

• 損失軽減：損失の大きさを小さくする。例：持ち出す端末に保存するデータを必要最小限にする

• リスク分離（分割）：資産や処理を分けて散らす。例：処理やマシンルームを分散する

• リスク集中（結合）：資産や資源を集めて、そこを徹底的に守る。例：インターネットとの接続口を1か所にして、そこを重点的に守る

分散すれば必ず安全、集中すれば必ず危険、ではありません。データの保管先を二つに分けても、両方を同じ管理者のアカウントで消せるなら、そのアカウントが悪用されれば両方を失います。接続口を集中すれば点検しやすくなりますが、そこが止まれば全体が止まります。何による損失を減らしたいのか、新しくどの依存関係が生まれるのかを比べます。

2. 管理策は、リスクのどこに効くかで選ぶ

管理策は、リスクを変えたり、望ましい状態を保ったりするための措置です。機器やソフトウェアだけでなく、権限を決めるルール、教育、点検、物理的な保護も含みます。

「アクセス管理を強化する」では、担当者は何をすればよいか分かりません。管理策は、実現したい状態から具体化します。

• 対象：申請データをファイルに出力する操作

• 実現したい状態：担当業務に必要なデータだけを、承認された担当者が出力できる

• 具体的な措置：担当業務ごとに権限を分け、利用者と権限の対応を確かめて設定する

• 状態を保つ措置：異動のときに権限を更新し、不要になった権限を外す

• 確かめ方：担当外のデータを出力できないことと、担当内の必要な操作ができることを試す

必要な業務ができない設計にすると、現場が別の方法でデータを持ち出すなど、想定しなかった運用が生まれます。何を制限するかと、必要な業務をどう成り立たせるかを一緒に考えます。

管理策の働く場所は、予防・検知・対応・復旧に分かれます。権限の制限は不適切な操作を起こりにくくする予防、大量の出力を見つける監視は検知、疑わしい操作が見つかった後のアカウントの停止は対応、安全な設定に戻して利用を再開するのが復旧です。

• 検知の仕組みだけを入れても、通知を受ける担当者が不在で代わりもいなければ、対応が始まらない

• 復旧の手段があっても、すでに流出した情報は取り戻せない。復旧策があるからといって、予防を省けるわけではない

• 複数の管理策が、同じ設定の誤り一つで同時に働かなくなるなら、二つあっても備えにはならない

技術の設定だけでは完結しない部分もあります。システムの権限を絞っても、出力した書類が誰でも見られる場所に置かれていれば、その経路から漏れます。技術的・物理的・人的・組織的な対策をつなげて、保護が途切れる箇所がないかを確かめます。

最後に、導入したことと、効果が出ていることを分けて確かめます。権限を変更した記録は作業の証拠ですが、対象の一覧から兼務者が漏れていれば、その人の広すぎる権限は残っています。

3. 費用は、導入後まで含めて比べる

対策の案を比べるとき、初期費用が安い方を選べばよいとは限りません。導入から利用、更新、終了までの費用を通して考えることを、総所有コスト（TCO：Total Cost of Ownership）と呼びます。

• 導入時：現状の調査、設計、設定や改修、データの移行、動作の確認、教育

• 運用中：利用料や保守料、権限の変更、点検、問い合わせへの対応、ログの確認

• 終了時：データの取り出し、移行先での確認、不要なデータと権限の削除

架空の計算例：権限管理の二つの案を、3年間で比べます（数値は説明用で、相場ではありません）。

• 案A：初期費用120万円、年間の利用・保守費60万円、自組織の作業は月20時間、終了時の移行30万円

• 案B：初期費用240万円、年間の利用・保守費36万円、自組織の作業は月5時間、終了時の移行30万円

自組織の作業を1時間5,000円で換算すると、案Aは作業720時間で360万円、合計は120＋60×3＋360＋30＝690万円です。案Bは作業180時間で90万円、合計は240＋36×3＋90＋30＝468万円です。

この条件では案Bの方が小さくなります。ただし、外部への支出だけを見ると、案Aは330万円、案Bは378万円で、案Bの方が48万円多くなります。作業時間が減っても、その分の予算がすぐに削れるとは限りません。予算を判断する人には外部への支出の内訳を、担当者の配置を判断する人には必要な作業時間を示します。

費用を比べるときは、同じ期間・対象・条件で比べ、前提を添えます。効果の側も、費用の削減だけではありません。担当外の情報に届かないこと、異動のときに確実に権限を外せること、調査に必要な記録が残ることも比べます。支援士解説1の2で扱う年間予想損失額を使う場合も、それを対策費用の上限と決めつけません。平均の損失だけでは、一度の重大な事故への耐性や、金額で表しにくい利用者への影響が分からないからです。

4. ISMSでの、管理策の決定から残留リスクの承認まで

ISMS（ISO/IEC 27001）では、リスクの評価の後、次の順に進めます（ISMSの全体は支援士解説1の1）。

1. リスク対応の選択肢を選ぶ：リスクごとに、低減・回避・移転・保有などを選ぶ

2. 必要な管理策を決める：選んだ選択肢の実施に必要な管理策を、自組織のリスクと要求事項から決める

3. 附属書Aと比べる：決めた管理策を、ISO/IEC 27001の附属書Aの管理策の一覧と比べ、必要な管理策の見落としがないかを確かめる。附属書Aは見落としを防ぐための一覧で、必要なら一覧にない独自の管理策も加える

4. 適用宣言書を作る：必要な管理策とその理由、実施しているかどうか、附属書Aから除外した管理策とその理由を書く

5. リスク対応計画を作り、リスク所有者の承認を得る：計画と、残留リスクの受容について、リスク所有者（そのリスクを管理する責任と権限を持つ人）の承認を得る

残留リスクは「何を前提に残っているか」を書きます。たとえば「権限の見直しは完了したが、兼務者の権限の確認は来月」なら、来月までは広すぎる権限が残っている可能性があります。予定と実績を分け、計画どおり進まなかったときの扱いも決めておきます。

暫定の対応は、終わらせ方まで決めます。たとえば「恒久の対策が入るまで、出力の操作を毎日目で確かめる」としたなら、担当者、確かめる内容、記録の方法、担当者がいないときの代わりを決めます。終了の条件は日付だけにせず、「恒久の対策が入り、効果を確かめた」ことを条件にします。期限を過ぎても恒久の対策が入らないなら、残るリスクと次の期限を報告し、判断し直します。暫定の対応が、期限のない人頼みの作業として残り続けることが、よくある失敗です。

リスク所有者による承認は、組織の基準を無視してよいという許可ではありません。リスク受容の基準を超えるリスクを受け入れるなら、その理由と、より上位の判断が必要かを確かめます。

5. 適用宣言書と対応計画

適用宣言書とリスク対応計画は、目的が違います（図1）。

• 管理策を選ぶ：自組織のリスクと要求から決め、附属書Aと比べて見落としを確かめ、必要なら独自の管理策も加える

• 適用宣言書（何を、なぜ）：必要な管理策と採用の理由、実施しているかどうか、附属書Aから除外した管理策とその理由

• 対応計画（どう実施するか）：担当、期限、資源、ほかの作業との依存関係、完了の条件と有効性の確かめ方、暫定の対応、残留リスク、見直しの時期

午前IIで問われやすいのは、「不要」と「未実施」の区別です。

• 必要だが予算を調整中の管理策は「未実施」。適用宣言書で「不要（除外）」にしてはいけない

• 除外できるのは、その管理策が自組織のリスクに照らして必要ないと説明できる場合

• 実施を予定しただけで「実施済み」にしない

管理策に識別番号を付け、適用宣言書と対応計画を関連付けておくと、計画の変更や監査のときに、更新すべき箇所をたどりやすくなります。

【図1】適用宣言書と対応計画は、目的が違う

6. サイバー保険は、補償の条件まで読む

サイバー保険は、サイバー事故による損害に備える保険で、リスクファイナンシングの手段です。補償の対象には、事故の調査や対応の費用、損害賠償に関する費用、事業が止まったことによる損失などがあり得ますが、範囲は保険会社や契約で違います。

用語を区別します。

• 保険料：加入者が支払う費用

• 保険金：補償の対象となる事故で支払われるお金

• 支払限度額：保険金の上限。1事故あたりか、保険期間の合計か、費用ごとに別の上限があるかを確かめる

• 免責金額：契約で定める自己負担額。補償しない事故や損害を定める免責事項とは別の意味

架空の計算例（単純化した例で、実在の商品の条件ではありません）：補償の対象と認められた費用が900万円、対象外の費用が200万円、自己負担額が100万円、支払限度額が600万円とします。900万円から自己負担の100万円を引くと800万円ですが、上限が600万円なので、保険金は600万円です。組織の負担は、全費用1,100万円から600万円を引いた500万円になります。上限と自己負担だけでなく、何が補償の対象と認められるかが結果を大きく左右します。

保険で押さえておきたい点は次のとおりです。

• 保険金で費用の一部を賄えても、復旧の作業そのものが終わるわけではない。誰が調査し、何で復旧し、再開を誰が判断するかは別に用意する

• ランサムウェアの身代金を保険で賄える前提で計画を立てない。補償の対象外と説明されている例がある

• 事故のときに、いつ、どこへ、何を連絡するか、費用を使う前に保険会社の承認が要るかを、インシデント対応の手順に入れておく

• 加入のときや変更のときに、セキュリティ対策の状況を正確に申告する

午後で出てくる場面

• 令和7年度秋期 午後問4：サプライチェーンでのセキュリティ管理が題材だった。問題文には、サイバーセキュリティ経営ガイドラインの指示として、サイバー保険の活用や専門ベンダへの委託を含めたリスク対応計画を策定させ、対応後の残留リスクを識別させる、という記述があった。リスク対応の分類（回避・移転・保有）も空欄で問われた（詳しくは支援士解説1の2）

7. 午前II（科目A-2）で正誤を見分けるポイント

• 「リスクファイナンシングとは、対策によってリスクの発生を抑えることである」→ 誤り。それはリスクコントロール。ファイナンシングは損失に備えて資金を確保すること

• 「保険への加入は、リスク回避である」→ 誤り。リスク移転（ファイナンシング）

• 「インターネットとの接続口を1か所にまとめて重点的に守るのは、リスク分離である」→ 誤り。リスク集中

• 「持ち出す端末のデータを必要最小限にするのは、損失予防である」→ 誤り。起きたときの損失を小さくする損失軽減

• 「附属書Aの管理策をすべて採用すれば、必要な管理策を選んだことになる」→ 誤り。自組織のリスクから決め、附属書Aは見落としの確認に使う

• 「適用宣言書には、採用した管理策だけを書く」→ 誤り。附属書Aから除外した管理策と、その理由も書く

• 「予算がないので実施できない管理策は、適用除外にする」→ 誤り。必要なら「未実施」として計画に残す

• 「残留リスクは、情報システム部門の担当者が承認する」→ 誤り。リスク所有者が承認する

• 「総所有コストは、製品の購入価格のことである」→ 誤り。導入から運用、終了までの費用を含む

• 「サイバー保険に加入すれば、事故の後の復旧作業も保険会社が行う」→ 誤り。金銭の補塡と業務の回復は別に準備する

• 「免責金額とは、補償の対象外となる事故のことである」→ 誤り。自己負担額のこと。対象外の条件は免責事項

• 「ISO 31000は、ISMSの認証に使う要求事項の規格である」→ 誤り。リスクマネジメントの原則と指針で、認証のための規格ではない

理解度チェック

本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。

問1　リスクコントロールとリスクファイナンシング

リスクファイナンシングに当たるものはどれか。

• ア：入退室管理の設備を導入する

• イ：サイバー保険に加入する

• ウ：アクセス権を最小限に見直す

• エ：インターネットに接続しないで業務を行う

正解：イ。損失に備えて資金面の手当てをするのがファイナンシングです。アとウはリスクの発生や損失を抑えるコントロール（低減）、エは回避です。

問2　適用宣言書

適用宣言書の扱いとして、最も適切なものはどれか。

• ア：必要だが予算の都合で実施できていない管理策を、「適用除外」とする

• イ：採用した管理策とその理由、実施の状況、附属書Aから除外した管理策とその理由を書く

• ウ：附属書Aの管理策はすべて採用しなければならないので、除外の欄は設けない

• エ：実施を予定している管理策は、「実施済み」と書く

正解：イ。アは「未実施」を「不要」と取り違えています。ウのように、自組織のリスクに照らして除外できる管理策もあります。エは予定と実績を混同しています。

問3　費用の比較

二つの対策案を3年間で比べたところ、案Bは総所有コストが小さいが、外部への支出は案Aより多かった。説明の仕方として、最も適切なものはどれか。

• ア：総所有コストが小さいので、案Bは予算を削減できると説明する

• イ：自組織の作業時間の換算額と、外部への支出を分けて示し、前提とともに説明する

• ウ：外部への支出だけを比べ、案Aを採用する

• エ：初期費用が安い方を採用する

正解：イ。作業時間が減っても、その分の予算がすぐ削れるとは限りません（ア）。ウとエは、比べる範囲が一部だけです。

問4　サイバー保険

サイバー保険の扱いとして、最も適切なものはどれか。

• ア：保険に加入したので、インシデント対応の体制は不要になる

• イ：ランサムウェアの身代金は、保険で賄えることを前提に計画する

• ウ：補償の対象、支払限度額、自己負担額、事故のときの連絡の手続を確かめ、インシデント対応の手順に入れる

• エ：保険料が安い契約ほど、補償の範囲も広い

正解：ウ。保険は損失の補塡で、復旧の作業や体制の代わりにはなりません（ア）。イは補償の対象外とされる例があります。エに根拠はありません。

実務と国・自治体では

• 例外措置とリスク受容は別：政府機関等の統一基準は、規程どおりの対策が業務の適正な遂行を著しく妨げる場合などに、代わりの方法を取る（又は対策を実施しない）例外措置の手続を定めている。許可する者と審査の手続を決め、申請の状況を台帳に記録する。一方、規程どおりに対策しても残るリスクを受け入れることは、規程の例外とは限らない。「残留リスクを受け入れたから規程に違反してよい」とはならない

• 自治体のクラウド利用：総務省のガイドラインは、クラウドの機能や費用だけでなく、情報資産、運用体制、ポリシーや業務継続への適合などを検討し、リスクに対応したうえで、自治体自身が利用を判断することを説明している

• 委託先への確認：「安全ですか」とだけ聞かず、権限の細かさ、操作の記録、通知の条件、設定変更の担当、契約終了時のデータの扱いなど、対象のリスクに対応した確認事項を示す

まとめ

• リスクコントロールは発生と損失を抑え、リスクファイナンシングは損失に資金で備える。 保険は移転（ファイナンシング）。

• 低減は、損失予防・損失軽減・リスク分離・リスク集中。 接続口の一本化は集中。

• 管理策は実現したい状態から選び、導入と効果を分けて確かめる。 費用は導入後まで含め、外部への支出と作業時間を分けて示す。

• 適用宣言書は「何を、なぜ」、対応計画は「どう実施するか」。 未実施を不要として除外しない。残留リスクはリスク所有者が承認する。

さらに深く学ぶなら

この記事の範囲を超えて、仕組みをもっと深く知りたい人向けの本です（試験対策の本ではありません）。

• リスク対応から管理策の選択、適用宣言書までを、ISMSの規格に沿って確かめられる

関連記事

• 前提：そのリスク対応をなぜ優先するのか？｜支援士解説1の2（リスクアセスメント、4分類と残留リスク）

• あわせて読む：情報セキュリティ方針は、何を守り、誰が決める？｜支援士解説1の1（ISMSと附属書A）

• 次に読む：そのルールでセキュリティ担当者は動ける？｜支援士解説1の4（選んだ管理策を規程にする）

2026年10月改訂：リスク対応の4分類と残留リスクの基本は1の2へまとめ、この記事は管理策の選び方、費用、適用宣言書、サイバー保険に絞りました。