二次リスクと残存リスクとは？にじりすくとざんぞんりすく
二次リスクと残存リスクとは、リスク対応策を実施した結果として新たに生じるリスクが二次リスク、対応を行ってもなお残るリスクが残存リスク（残留リスク）である。対応策は必ず別の負担や弱点を伴うため、実施の可否は対応後の姿で評価し、残存リスクを受容してよいかをリスク所有者が明示的に判断する。ISMSでは残留リスクの承認を経営陣から得る手順が求められる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
対策を打てばリスクは消えるという発想では、対策自体が持ち込む新しい弱点や、対策の届かない部分が見落とされた。ISMSでは、対応後に残るリスクの水準を記録し、受容できるかを決めた記録を残すことが要求事項になっている。支援士では、対策の副作用（二次リスク）と、対策しても残る部分（残存リスク）を区別して答える形で問われる。
具体例
多要素認証を導入すると不正ログインのリスクは下がるが、認証アプリ入りのスマートフォンを紛失した利用者がログインできなくなる、SMSの認証コードを騙し取る手口に狙われる、といった二次リスクが生じる。またクラウド事業者へ運用を委託しても、事業者側の障害で自社サービスが止まるリスクは残存リスクとして自社の責任に残る。
試験での引っ掛け
「委託や保険でリスクを移転したので残存リスクはゼロ」とする選択肢は誤り。移せるのは費用負担の一部で、業務停止や信用低下といった影響は元の組織に残るため、引き続き監視と受容判断の対象になる。また二次リスクは対策が原因で生まれるもの、残存リスクは対策が及ばず残るものと、発生の由来で区別する。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。