Residual Risk

残留リスク（Residual Risk）とは、組織がリスク対応策（セキュリティ管理策）を実施した後に依然として残るリスクのことです。どのような組織であっても、すべてのリスクを完全に排除することは現実的に不可能であり、コスト・技術・運用上の制約から一定のリスクは必ず残存します。残留リスクを適切に把握し、組織として意識的に受容するか追加対策を講じるかを判断することが、リスクマネジメントの核心的なプロセスです。

残留リスクの概念は、リスク受容（Risk Acceptance）と密接に関連しています。リスク受容とは、残留リスクが組織の定めたリスク受容基準（Risk Acceptance Criteria）以下であることを確認し、経営層が正式にそのリスクの存在を承認するプロセスです。ISO 27001やNIST RMFなどのフレームワークでは、リスク受容は文書化され、経営層（リスクオーナー）の明示的な承認を伴うことが求められています。

残留リスクの管理で重要なのは、継続的な再評価です。一度受容したリスクであっても、脅威環境の変化、新たな脆弱性の発見、ビジネス環境の変化により、そのリスクレベルは変動します。定期的なリスクアセスメントを通じて残留リスクの状況を再評価し、受容基準を超過した場合には追加の管理策を検討するか、リスク受容の判断を見直す必要があります。この継続的なサイクルこそが、効果的なリスクマネジメントの実践です。

残留リスクの算出と評価

残留リスクは、固有リスク（Inherent Risk）から管理策（コントロール）の効果を差し引いたものとして概念的に理解されます。固有リスクとは、いかなる管理策も存在しない状態でのリスクレベルであり、「脅威の発生可能性 × 影響度」で表されます。管理策を実施することで発生可能性や影響度が低減されますが、完全にゼロにはなりません。

残留リスクの定量的な評価には、管理策の有効性評価が不可欠です。管理策が設計通りに機能しているか（設計有効性）、日常的に正しく運用されているか（運用有効性）を検証し、実際のリスク低減効果を測定します。管理策の有効性が低下している場合、想定よりも高い残留リスクが存在する可能性があり、早急な対応が必要です。

リスク受容基準の設定

リスク受容基準（Risk Acceptance Criteria）は、組織がどの程度のリスクまでなら受け入れ可能かを定量的・定性的に定めた基準です。この基準は組織のリスクアペタイト（リスク選好）に基づいて設定され、業種、事業規模、法規制要件、ステークホルダーの期待などを考慮して決定されます。

リスク受容基準は通常、リスクマトリクス上で表現されます。例えば、「影響度が"高"かつ発生可能性が"中"以上のリスクは受容不可」といった形で、明確な閾値を設定します。基準を超えるリスクについては、追加の管理策の実施、リスクの移転（保険など）、リスクの回避（該当活動の中止）のいずれかの対応が求められます。

経営層の承認プロセス（マネジメントサインオフ）

残留リスクの受容は、必ずリスクオーナー（通常は経営層）による正式な承認を伴わなければなりません。これは、リスクの受容が組織としての経営判断であり、セキュリティチームだけで決定すべきものではないためです。ISO 27001では、リスク対応計画と残留リスクの受容について、リスクオーナーの承認を取得することが明確に要求されています。

承認プロセスでは、各残留リスクについて、リスクの内容、実施済みの管理策、残留リスクのレベル、受容の根拠、追加対策を講じない理由を明確に説明した文書を経営層に提示します。経営層は、その情報に基づいてリスク受容の可否を判断し、署名による承認を行います。この承認記録は、監査対応やコンプライアンス証明のために適切に保管されます。

文書化とリスク台帳管理

残留リスクの管理には、リスク台帳（Risk Register）による体系的な文書化が不可欠です。リスク台帳には、特定されたすべてのリスクについて、リスクの説明、固有リスクレベル、実施済みの管理策、残留リスクレベル、リスクオーナー、受容/対応の判断、レビュー期日などの情報を記録します。

リスク台帳は「生きた文書」として継続的に更新され、新たなリスクの追加、既存リスクのレベル変更、管理策の変更、リスク受容判断の見直しなどを適時反映します。適切に管理されたリスク台帳は、組織のリスク状況の全体像を把握するための重要なツールであり、内部監査や外部審査においても中核的な証跡文書となります。

継続的な再評価とモニタリング

残留リスクは静的なものではなく、環境の変化に応じて常に変動します。新たな脅威の出現、既存の脆弱性の発見、管理策の劣化、ビジネス環境の変化、法規制の変更など、さまざまな要因によって残留リスクのレベルは変わります。

継続的な再評価のために、定期的なリスクアセスメント（通常は年1回以上）に加え、リスク指標（KRI：Key Risk Indicator）を設定して継続的なモニタリングを行います。KRIは、リスクレベルの変化を早期に検知するための先行指標であり、閾値を超えた場合にはアラートを発して追加対応を促します。例えば、特定の攻撃ベクターの検知件数の増加や、パッチ未適用システムの割合の上昇などがKRIとして活用されます。

• 01
  明確なリスク受容基準の策定と文書化：組織のリスクアペタイトに基づいたリスク受容基準を策定し、経営層の承認を得て文書化してください。基準は定量的な閾値（例：想定損害額が年間売上の0.1%以下）と定性的な条件の両方を含めることで、一貫した判断が可能になります。
• 02
  リスクオーナーによる正式な承認プロセスの確立：残留リスクの受容は必ずリスクオーナー（経営層）の署名付き承認を経てください。承認文書には、リスクの内容、実施済み管理策、残留リスクレベル、受容の根拠を明記し、監査証跡として適切に保管しましょう。
• 03
  リスク台帳の継続的な維持管理：すべての特定リスクをリスク台帳に記録し、固有リスク・管理策・残留リスク・リスクオーナー・レビュー期日を体系的に管理してください。リスク台帳は少なくとも四半期ごとに更新し、変更履歴を追跡可能にしましょう。
• 04
  KRI（重要リスク指標）によるモニタリング：残留リスクの変動を早期に検知するためのKRIを設定し、継続的にモニタリングしてください。閾値を超えた場合には自動アラートを発する仕組みを構築し、迅速な対応につなげましょう。
• 05
  管理策の有効性の定期的な検証：実施済みの管理策が設計通りに機能し、期待されるリスク低減効果を発揮しているかを定期的に検証してください。内部監査、ペネトレーションテスト、脆弱性診断などを活用し、管理策の劣化や陳腐化を早期に発見しましょう。
• 06
  定期的なリスク再評価サイクルの確立：最低でも年1回のリスク再評価を実施し、残留リスクのレベルが受容基準内に収まっているかを確認してください。脅威環境の大きな変化や重大インシデントの発生時には、臨時の再評価を実施し、必要に応じてリスク受容判断を見直しましょう。