セキュリティ
運用認可責任者（AO）
Authorizing Official
読み：うんようにんかせきにんしゃ
運用認可責任者（AO）は、評価結果を踏まえ、システムを運用することによる残留リスクを受容できるか判断する権限を持つ役割です。
01初心者向け
まず意味をつかむ
運用を始めるかは、点検した人とは別に、残る弱点と事業への影響に責任を持つ人が判断する仕組みがあります。
02実務者向け
仕事でどう使うか
適用する制度で任命と決裁範囲を確認し、審査資料、評価結果、是正状況を揃えます。判断や付帯条件は正式に記録します。
03専門家向け
判断を一段深める
複数の事業や共有基盤に波及するリスクを考慮します。監視情報により前提が変わった場合、どの時点で判断し直すかを定めます。
IN PRACTICE
具体例で考える
庁内サービスの改修で、評価者が未解消の弱点を報告し、認可責任者が対象利用者の制限を条件に運用判断を記録しました。
理解を助けるための架空の例です。評価報告と残留リスク
認可責任者の判断
決定と運用条件
評価担当と決定権限を分けて記録する。
ここは誤解しやすい
担当者の口頭同意を正式なリスク受容に置き換えません。権限者、対象範囲、条件を関係者が確認できるようにします。
この知識を、組織の力へ。