情報セキュリティマネジメント試験 令和8年度 公開問題 問1

【正解】ウ

残留リスクとは、リスクに対して低減、移転、回避などの対応を行った後にも残っているリスクのことです。例えば、不正アクセス対策としてファイアウォールや多要素認証を導入しても、設定ミスや未知の攻撃による被害の可能性を完全にゼロにはできません。このような対策後にも残るリスクが残留リスクなので、ウが正解です。

アの、経営者の意思決定に従って保有したリスクは残留リスクに含まれないという説明は誤りです。リスク保有とは、費用対効果などを考慮し、リスクを受け入れる対応です。受け入れて残されたリスクも残留リスクに含まれます。

イの、特定されていないリスクは含まれないという説明は誤りです。残留リスクには、対策後に認識されているリスクだけでなく、まだ特定できていないリスクが含まれることもあります。

エの、活動を継続しないことで回避したリスクが残留リスクであるという説明は誤りです。リスク回避とは、原因となる活動を中止するなどして、そのリスクを生じさせない対応です。回避によって取り除かれたリスク自体を残留リスクとは呼びません。

【ポイント】 リスク対応には、リスクの低減、保有、移転及び回避があります。 対策を実施してもリスクを完全にはなくせないため、残留リスクを評価し、受容可能かどうかを判断することが重要です。