情報セキュリティマネジメント 令和8年度 科目A 問1

✓ これが正解ウ リスク対応を行った後に残るリスクは，残留リスクである。

解説

リスク対応を行った後に残るリスクが残留リスクです。

残留リスクは、リスク対応をひととおり行ったあとになお残っているリスクです。対応してもリスクがまったくのゼロになることはめったにないので、どこまで残っているかを把握して、受け入れられる水準かどうかを判断します。リスクの保有は、回避や低減と並ぶリスク対応の選択肢の一つです。経営者の判断で保有すると決めたリスクは、対応をした結果として残っているリスクそのもので、規格も残留リスクを「保有リスク」ともいうと注記しています。一方で、活動そのものをやめて回避したリスクは、もう残っていないので残留リスクには入りません。

ほかの選択肢の解説

• ア 経営者の意思決定に従って保有したリスクは，残留リスクに含まれない。：保有は放置ではなく、リスク対応の選択肢の一つです。保有すると決めたリスクは対応の後に残っているリスクそのもので、規格は残留リスクを「保有リスク」ともいうと注記しています。だから残留リスクに含まれないとするこの記述は誤りです。
• イ 特定されていないリスクは，残留リスクに含まれない。：規格は、残留リスクには特定されていないリスクが含まれ得ると注記しています。気づかれていないだけで実際には残っているのだから、含まれないとするこの記述は適切ではありません。
• エ リスクを生じさせる活動を継続しないという決定によって回避したリスクは，残留リスクである。：活動を続けないと決めて回避したリスクは、その活動をやめた時点でなくなります。残っていないのだから残留リスクではないので、この記述は当てはまりません。