リスク対応の4分類とは？りすくたいおうのよんぶんるい
リスク対応の4分類とは、情報セキュリティリスクアセスメントの結果に対し、リスク回避・リスク低減（修正）・リスク共有（移転）・リスク保有（受容）のいずれかを選ぶ考え方。回避は原因となる活動自体をやめ、低減は管理策で起こりやすさや結果を下げ、共有は保険や契約で他者と分担し、保有はリスク受容基準の範囲内として対策せず受け入れる。科目Bでは残留リスクと併せて対応計画を説明させる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
対策は「全部やる」ことができない。予算・人手・業務への影響という制約の中で、経営に説明できる形で優先順位を付ける必要がある。JIS Q 27001（ISMS）はリスクアセスメント後に対応の選択肢を選び、必要な管理策を決め、残留リスクをリスク所有者が承認することを要求しており、4分類はその選択肢を整理した枠組みである。支援士は「なぜ低減ではなく保有を選んだのか」を根拠付きで書けなければならない。
具体例
クレジットカード番号を扱う通販サイトなら、カード情報を自社で保持せずGMOペイメントゲートウェイのような決済代行へ委ねるのが回避、保持するならPCI DSSに沿った暗号化と権限管理が低減、サイバー保険が共有、社内限定の掲示板の軽微な改ざんリスクを受け入れるのが保有にあたる。
試験での引っ掛け
「活動そのものをやめる」のは回避であって低減ではない。保険は共有（移転）で発生確率は変わらず、契約で業務を委託先に移しても情報の管理責任までは移らない。保有は対策を忘れた状態ではなく、リスク受容基準に照らして意思決定した状態を指す。JIS Q 27001では「移転」を「共有」、「低減」を「修正」と呼ぶ表記ゆれも出る。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。