リスク対応とは？

リスク対応の意味

リスクアセスメントの結果を受けてリスクを修正するプロセス。リスク低減（コントロールの導入）、リスク回避（活動の中止）、リスク移転・共有（保険や委託）、リスク受容（そのまま受け入れる）の選択肢から選ぶ。

リスク対応の具体例

情報漏えいリスクに対し暗号化とアクセス制御で低減し、残る損害の一部をサイバー保険で移転する。

リスク対応は試験でどう引っ掛けられる？

移転しても説明責任・法的責任まで移るとは限らない。委託しても委託元の管理責任は残る。

リスク対応と関連する用語

• 残留リスク
• 委託先管理

リスク対応が出た過去問

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定は発見・認識・記述の段階で、受容可否の判断は評価

  JIS Q 27000の用語定義では、脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に付け込まれ得る資産や管理策の弱点を指す。リスク特定はリスクを発見・認識・記述するプロセスで、リスク源、事象、原因、起こり得る結果を洗い出す段階である。リスク基準と比較して受容可否を決めるのはリスク評価であり、リスク対応はその後の処置を選ぶ段階になる。

  出典：令和3年度 秋期 システム監査技術者試験 am2 問20（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク対応についての説明として、適切なものはどれか。

  正解：リスクを修正するプロセス

  要点：リスク対応はアセスメント後にリスクを修正するプロセス

  リスクマネジメントの用語は、リスクアセスメント（リスク特定→リスク分析→リスク評価）と、その結果を受けて実際に手を打つリスク対応に分かれる。前半はリスクの姿を明らかにして受容可否を判断する段階であり、リスク対応はそこで受け入れられないと判断されたリスクを修正する段階、すなわち低減・回避・移転・受容といった選択肢を選んで実行するプロセスを指す。「評価までが分析、修正が対応」と切り分けると各定義を取り違えにくい。

  出典：令和7年度 秋期 システム監査技術者試験 am2 問19（IPA）