リスク対応とは？りすくたいおう
リスク対応とは、分析・評価したリスクにどう向き合うかを決める工程。活動そのものをやめる回避、管理策で発生確率や影響を下げる低減、保険や委託で他者と分担する移転（共有）、基準内として引き受ける保有（受容）から選ぶ。判断の物差しはリスク受容基準と費用対効果で、対応後に残るものを残留リスクという。
最終更新：2026-10-06
この語が出る過去問を解く →背景
すべてのリスクをゼロにする、という方針は費用が無限に膨らむため成立しない。限りある予算をどこへ配ったかを外部に説明できる形にするために、対応の型を分類し、経営が承認する手続きに載せた。JIS Q 31000やISO/IEC 27001が求める枠組みでもある。支援士では、対策の列挙ではなく「なぜその対応を選んだか」を日本語で書かせる形で問われる。
具体例
東京海上日動をはじめ損害保険各社が販売するサイバー保険は移転の典型で、事故時の調査費用や賠償を保険料に置き換える。低減は多要素認証の導入のように管理策を打つこと、回避は採算の取れない海外向け直販サイトを閉じること、保有は公開資料しか置かない社内ポータルの改ざんを影響の小ささから受け入れること、にあたる。
試験での引っ掛け
移転しても説明責任までは移らない点が要注意で、保険や委託で費用を分け合っても、顧客への通知や監督官庁への報告は自組織に残る。分類では「サービスの廃止＝回避」「保険＝移転」「対策せず受け入れる＝保有」で、管理策を打つ低減との区別を突く選択肢が定番。残留リスクの受容を現場判断で済ませるのも誤りで、承認は経営層が行う。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）
個人情報の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。
正解：収集済みの個人情報を消去し，新たな収集を禁止する。
要点：リスク回避は活動をやめてリスク源をなくす対応
リスク回避は、リスクを生む活動そのものをやめてリスク源を取り除く対応です。個人情報を消去し新たな収集を禁止すれば、漏えいするデータ自体が存在しなくなります。低減・共有・受容との区別が問われています。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクを発見・認識・記述するプロセス
JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。