残留リスクとは？ざんりゅうりすく
残留リスクとは、リスクへの対策を実施した後にも、なお残っているリスクのこと。対策でリスクを完全にゼロにすることは通常できないため、「対策後にどれだけ残るか」を見積もり、それが組織の決めた受容基準の範囲内かをリスク所有者が判断して受け入れる。基本情報ではリスク対応（回避・低減・移転・保有）の流れの中で、対応後に残る部分として問われる。
最終更新：2026-10-09
基本情報を最短で暗記・合格する →背景
セキュリティ対策は費用と手間がかかり、すべてのリスクを消そうとすれば予算も業務も破綻する。そこで ISMS の規格（JIS Q 27001）は、対策後に残るリスクを明示して責任者が承認する手順を求めた。「残っていることを知ったうえで受け入れる」と「気づかずに放置する」は別物で、前者にするのがマネジメントの役割である。試験では、残留リスクを承認するのは誰か、ゼロにできるかを問う。
具体例
研究室のノートPCに Windows Defender を有効にし、OS を自動更新にしても、まだ知られていない脆弱性を突く攻撃（ゼロデイ攻撃）は完全には防げない。不審な動きを検知する機能や、管理者権限を普段使わない運用で被害は減らせるが、ゼロにはならない。この残った部分が残留リスクで、「重要データは PC に置かず Google ドライブに保存する」という運用を加えたうえで、残りは研究室の責任者が受け入れると決める。
試験での引っ掛け
「対策をすれば残留リスクはゼロになる」は誤りで、対策後も必ず何かは残る。また残留リスクを受け入れる判断をするのは情報システム部門の担当者ではなく、リスク所有者（そのリスクの責任を負う管理者）である。受容したリスクも環境が変われば見直す対象で、「一度受け入れたら終わり」ではない。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。