残留リスクとは何か、保有・回避・未特定のリスクとの関係
情報セキュリティマネジメント試験 令和8年度 問1 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち，適切なものはどれか。
- ア
経営者の意思決定に従って保有したリスクは，残留リスクに含まれない。
- イ
特定されていないリスクは，残留リスクに含まれない。
- ウ
リスク対応を行った後に残るリスクは，残留リスクである。
- エ
リスクを生じさせる活動を継続しないという決定によって回避したリスクは，残留リスクである。
会話形式の解説
講師今回は、リスクマネジメントで使う「残留リスク」について、正しい記述を選ぶ問題です。まず定義を押さえましょう。残留リスクは「リスク対応の後に残っているリスク」のことです。
受験者定義そのものを書いた選択肢がありますね。リスク対応の後に残るリスク、という記述です。これが正解でしょうか。
講師はい、その記述は定義と一致します。対策をしてもリスクを完全にゼロにはできず、何らかのリスクは残ります。ただ、ほかの選択肢がなぜ誤りかも確かめておきましょう。
受験者リスク対応にはいくつか種類があったと思いますが、そこが判断の材料になりますか。
講師なります。リスク対応には低減・保有・移転・回避の4つがあります。選択肢ごとに、その対応の後もリスクが残るのか、消えるのかを見ていきます。
受験者経営者の判断で保有したリスクは残留リスクに含まれない、という選択肢があります。経営者が認めたなら問題なしと扱う、という意味に読めました。
講師そこは逆です。リスク保有は、リスクをそのまま受け入れる対応です。受け入れたリスクは消えずに残るので、残留リスクに含まれます。残留リスクは「保有リスク」とも呼ばれます。
受験者では、活動をやめてリスクを避けた場合はどうなりますか。避けたリスクを残留リスクとする選択肢があります。
講師活動を始めない・続けないと決めるのはリスク回避です。回避すると、その活動から生じるリスクは消えます。後に残らないので、残留リスクにはなりません。
受験者残りは、特定されていないリスクは残留リスクに含まれない、という選択肢です。見つけていないものは数えようがないので、含まれないように思えます。
講師気持ちは分かりますが、見落としたリスクも気付かれないまま残ります。リスクアセスメント、つまりリスクを洗い出して評価する作業で漏れたものも、残留リスクに含まれ得ます。
受験者整理すると、保有したリスクと特定されていないリスクは残り、回避したリスクは消える。だから対応後に残るリスク全体が残留リスク、ということですね。
講師そのとおりです。補足すると、残留リスクは受容できる水準かどうかを評価し、承認を得て保有します。対策後も設定ミスや未知の攻撃で被害が出る可能性が残る、というのが残留リスクの例です。
まとめ
残留リスクとは、リスク対応の後に残っているリスクのことで、この定義どおりの記述が正解です。リスク対応には低減・保有・移転・回避の4つがあり、保有したリスクは消えずに残るため残留リスクに含まれ、「保有リスク」とも呼ばれます。活動をやめる回避を選ぶとそのリスクは消えるので、残留リスクにはなりません。リスクアセスメントで特定されなかったリスクも気付かれないまま残るため、残留リスクに含まれ得ます。
解答・解説
正解はウです
この問題のテーマ
情報セキュリティのリスクマネジメントで使う「残留リスク」の定義と、残留リスクに含まれるものの範囲を問う問題です。
解き方の考え方
最初に、残留リスクの定義を確かめます。定義は「リスク対応の後に残っているリスク」です。次に、リスク対応の種類（低減・保有・移転・回避）を思い出します。そのうえで、各選択肢のリスクが対応後も残るのか、消えるのかを照らします。最後に、特定されていないリスクも残り得るかを確認します。
選択肢ごとの解説
- ×ア 経営者の意思決定に従って保有したリスクは，残留リスクに含まれない。アは、経営者の判断で保有したリスクは残留リスクに含まれないと述べています。リスク保有（リスクをそのまま受け入れること）もリスク対応の一つです。保有したリスクは対応後も消えずに残るため、残留リスクに含まれます。したがって、アは不適切です。
- ×イ 特定されていないリスクは，残留リスクに含まれない。イは、特定されていないリスクは残留リスクに含まれないと述べています。一方、リスクアセスメント（リスクを洗い出して評価する作業）で見落とされたリスクも、気付かれないまま残ります。そのため、残留リスクには特定されていないリスクも含まれ得ます。したがって、イは不適切です。
- ○ウ リスク対応を行った後に残るリスクは，残留リスクである。ウは、リスク対応の後に残るリスクが残留リスクだと述べています。対策をしてもリスクを完全にゼロにはできず、何らかのリスクは残ります。ウの記述は、残留リスクの定義と一致します。したがって、ウが正解です。
- ×エ リスクを生じさせる活動を継続しないという決定によって回避したリスクは，残留リスクである。エは、活動を継続しないことで避けたリスクを残留リスクだとしています。活動を始めない・続けないという決定は、リスク回避に当たります。回避を選ぶと、その活動から生じるリスクは消えるため、後に残りません。したがって、エは不適切です。
補足
残留リスクは、受容できる水準かどうかを評価します。そのうえで承認を得て保有します。対策を入れた後も、設定ミスや未知の攻撃で被害が出る可能性は残ります。こうした可能性が残留リスクの例です。
POINT
- 残留リスクとは、リスク対応の後に残っているリスクのことです。
- リスク対応には、低減・保有・移転・回避の4つがあります。
- 保有したリスクは残留リスクに含まれ、残留リスクは「保有リスク」とも呼ばれます。
- 回避したリスクは消えるため、残留リスクにはなりません。
- 特定されていないリスクも、残留リスクに含まれ得ます。