リスク低減とは？りすくていげん
リスク低減は、対策を講じてリスクの発生確率（起こりやすさ）か影響度（起きたときの損害の大きさ）、またはその両方を下げるリスク対応である。リスク対応の4分類（回避・低減・移転・保有）の一つで、ウイルス対策ソフト・多要素認証・アクセス権の絞り込みのように「起こりにくくする」対策と、バックアップ・暗号化・二重化のように「起きても被害を小さくする」対策の両方が含まれる。低減してもリスクはゼロにはならず、対策の後に残るリスクを残留リスクと呼ぶ。残留リスクが受け入れられる水準（リスク受容基準）まで下がったかを確かめ、下がらなければ対策を追加するか、ほかの対応と組み合わせる。回避と並び、リスクそのものに手を打つリスクコントロールに分類される。
最終更新：2026-10-10
この語が出る過去問を解く →背景
情報を扱う以上、漏えいや停止のリスクを完全になくすことはできず、かといって業務をやめる（回避）わけにもいかない。そこで「続けながら、起こりにくく・被害を小さくする」という対応が必要になる。発生確率と影響度の2つの軸に分けて考えるのは、リスクの大きさをこの2つで評価する（リスク分析）ので、どちらを下げる対策かを区別して効果を測れるようにするためである。
具体例
GitHubは2022年に、コードを投稿するすべての利用者に2023年末までに2要素認証を有効にするよう求めると発表した。パスワードが漏れてもログインされにくくなるので、アカウント乗っ取りの発生確率を下げるリスク低減に当たる。一方、ノートPCの内蔵ディスクを暗号化しておくのは、紛失そのもの（発生確率）は減らないが、拾われても中身を読まれにくくする、影響度を下げるリスク低減である。
試験での引っ掛け
暗号化やバックアップは「発生確率」ではなく「影響度」を下げる対策だが、どちらもリスク低減である（移転や保有ではない）。「活動自体をやめる」のは低減ではなく回避、「保険に入る」は低減ではなく移転（保険では発生確率は下がらない）。対策を入れた後に残るリスクは残留リスクで、「低減したからリスクはゼロ」とする選択肢は誤り。プロジェクトマネジメントの分野では同じ考え方を「軽減」と呼ぶ。
関連用語
出た過去問
出典：令和6年度 公開問題 基本情報技術者試験 科目B 問6（IPA）解説で登場
A社は従業員450名の商社であり、昨年から働き方改革の一環として、在宅でのテレワークを推進している。A社のシステム環境を図1に示す。 〔図1: A社のシステム環…
正解：A社利用クラウドサービスにA社外から接続する際の認証に2要素認証を導入する。
要点：接続元制限が外れる分は認証強化(2要素)で補う
これまでA社利用クラウドサービスへのログインは社内ネットワーク経由に限定されており、接続元の制限が事実上の防御になっていた。直接接続を許すとこの制限が外れ、利用者IDとパスワードだけが頼りになるため、漏えいや推測による不正アクセスのリスクが高まる。そこで社外から接続する際の認証を2要素認証にして、パスワードだけでは侵入できないようにすることがリスク低減策となる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。