ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問1 残留リスクとは

情報セキュリティ​マネジメント試験 令和8年度 公開問題、全15問のうちの問1。

出典：令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題 問1

情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち，適切なものはどれか。

  1. ア経営者の意思決定に従って保有したリスクは，残留リスクに含まれない。
  2. イ特定されていないリスクは，残留リスクに含まれない。
  3. ウリスク対応を行った後に残るリスクは，残留リスクである。
  4. エリスクを生じさせる活動を継続しないという決定によって回避したリスクは，残留リスクである。
答えと解説を開く

正解はウです。

リスクマネジメントでは、見つけたリスクに対して、対策で小さくする (低減)、保険などで他へ移す (移転)、その活動をやめる (回避)、そのまま受け入れる (保有) のどれかを選びます。手を打っても、リスクがゼロになることはまずありません。この、対応を終えたあとに残るリスクを残留リスクと呼びます。ウはその定義そのままです。正解はウです。

ほかの選択肢が違う理由

  • ア保有は「このリスクは受け入れる」と決める対応です。受け入れたリスクは消えずに残るので、残留リスクに含まれます。
  • イ見落として特定できていないリスクも、対応されないまま残ります。残留リスクには、特定されていないリスクが含まれることがあります。
  • エ回避は、リスクを生む活動そのものをやめる対応です。活動をやめればそのリスクは無くなるので、残るリスクではありません。

仕組み

リスク対応の 4 つは、低減、移転、回避、保有です。どれを選んでも、最後に残る分 (残留リスク) を経営者が知ったうえで受け入れる、という流れになります。

残留リスクは一度決めたら終わりではありません。新しい攻撃や業務の変化で大きさが変わるので、定期的に見直します。