分野 E｜セキュリティ・倫理
リスク対応（リスク回避・移転・分散・保有）
今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-24-3 情報セキュリティリスク対応』
最終更新
よく出る形
- リスク共有（リスクを他者と分ける）の例を選ぶ（3回分で1問）
- リスク対応の分類の記述を選ぶ（3回分で1問）
- 問われるとしたら：事例で、回避・共有・保有のどれに当たるかを選ぶ形
- 問われるとしたら：リスク対応の例を判定する a〜c の組合せの形
覚えること
- リスク対応：リスクアセスメントの結果を受けて、対処方法を選ぶこと
- リスク回避：リスクを生じさせる活動を、始めない、または続けない
- リスク共有：他者とリスクの全部または一部を分け合う
- リスク移転：リスク共有の一つ。保険の加入などで、負担を他者に移す
- リスク分散：リスク共有の一つ。契約などで、リスクを他者と分けて持つ
- リスク保有：影響が小さい、または対策の費用が損害額を上回るとき、対策せず許容する
- リスク低減：対策を講じて、リスクの起こりやすさや影響を下げる
- 対応の例：保険の加入は共有（移転）、暗号化や持出し管理は低減
- 対応の選択肢は順番ではなく、リスクに応じて選び、組み合わせてもよい
- 参考：シラバス案の用語例は回避・共有・保有で、低減は載っていない
ひっかけ
- 保険に入るのは、リスク回避ではなく、リスク共有（移転）
- 他社のサービスを使うのは、リスクをなくすのではなく、負担を分ける対応
- バックアップセンターの設置や暗号化は、共有ではなく、低減
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
A 社の判断に当たるリスク対応はどれか。
A 社は、顧客の個人データを扱う新しいサービスを検討した。しかし、自社では必要な情報漏えい対策を十分にとれないと判断し、そのサービスを開始しないことにした。
正解：イ リスク回避
ポイント
事例の判断が、リスク対応のどれに当たるかを問う問題です。
考え方と解き方
リスク対応は、リスクを減らすのか、生じさせないのか、分けるのか、受け入れるのかで分かれます。A 社は、対策を足して減らすのではなく、リスクの元になる活動そのものを選ばなかった点が決め手です。
- A 社は、情報漏えい対策が十分にとれないと判断して、リスクを生じさせるサービスの開始そのものをやめました。
- リスクを生じさせる活動を、始めない、または続けないと決めるのは、リスク回避です。
- したがって、該当するのは イ です。
ほかの選択肢
- ア リスク共有は、保険や契約などで、リスクを他者と分け合う対応です。A 社は、他者と分けていません。
- ウ リスク保有は、許容して現状を維持する対応です。A 社は、リスクを受け入れず、サービスを始めませんでした。
- エ リスク低減は、対策を講じて起こりやすさや影響を下げる対応です。A 社は、対策を足すのではなく、活動をやめました。
覚えておくこと
- リスク回避：リスクを生じさせる活動を、始めない、または続けない
- リスク低減：対策を講じて、リスクの起こりやすさや影響を下げる
（テーマ・覚えること）
この契約によるリスク対応はどれか。
B 社は、顧客データの保管を専門の事業者に委託することにした。契約では、情報漏えいが起きたときの損害の一部を、その事業者も負うことになっている。
正解：ア リスク共有
ポイント
契約で損害の負担を分ける対応が、リスク対応のどれに当たるかを問う問題です。
考え方と解き方
委託すると対策が強くなると考えて、リスク低減を選ぶと誤ります。決め手は、損害の一部を委託先も負うという、負担の分け方です。
- 契約で、情報漏えいが起きたときの損害の一部を、委託先の事業者も負います。
- リスクの一部を他者と分け合う対応は、リスク共有です。
- したがって、該当するのは ア です。
ほかの選択肢
- イ リスク保有は、許容して現状を維持する対応です。B 社は、損害の一部を委託先と分けているので当たりません。
- ウ リスク回避は、リスクを生じさせる活動をやめる対応です。B 社は、データの保管を続けています。
- エ リスク低減は、自社が対策を講じて起こりやすさや影響を下げる対応です。この事例の決め手は、損害の負担を分けている点です。
覚えておくこと
- リスク共有：他者とリスクの全部または一部を分け合う
- リスク移転：リスク共有の一つ。保険の加入などで、負担を他者に移す
（テーマ・覚えること）
リスク対応の例として、適切なものだけを全て挙げたものはどれか。
C 社は、情報セキュリティのリスクへの対応を検討している。
- a 機密情報を置くサーバを外部のネットワークに接続しないのは、リスク共有に当たる。
- b 影響が小さく、対策の費用が想定される損害額を上回るリスクを許容し、現状を維持するのは、リスク保有に当たる。
- c OS の更新プログラムを適用して、脆弱性を突かれる可能性を下げるのは、リスク低減に当たる。
正解：ウ b、c
ポイント
リスク対応の例が、回避・保有・低減のどれに当たるかを、a〜c で判定する問題です。
考え方と解き方
外部に接続しない対応は、他者と分けているわけではなく、リスクの元になる使い方をやめています。接続しないことを、負担を分ける共有と考えると、a を適切としてしまいます。
- a は不適切です。機密情報を置くサーバを外部に接続しないのは、リスクの元になる使い方をやめるので、リスク回避です。
- b は適切です。影響が小さい、または対策の費用が損害額を上回るリスクを、許容して現状を維持するのは、リスク保有です。
- c は適切です。更新プログラムの適用という対策を講じて、脆弱性を突かれる可能性を下げるのは、リスク低減です。
- したがって、適切なのは b、c で、ウ です。
ほかの選択肢
- ア a は不適切なのに入っており、c が適切なのに入っていません。
- イ a も適切としていますが、外部に接続しないのはリスク共有ではなくリスク回避なので、a は不適切です。
- エ b が適切なのに入っておらず、c だけになっています。
覚えておくこと
- リスク回避：リスクを生じさせる活動を、始めない、または続けない
- リスク保有：影響が小さい、または対策の費用が損害額を上回るとき、対策せず許容する
- リスク低減：対策を講じて、リスクの起こりやすさや影響を下げる
（テーマ・覚えること）
リスク対応に関する記述として、最も不適切なものはどれか。
正解：エ 一つのリスクに対して選べる対応は、回避か保有のどちらかに限られる。
ポイント
リスク対応の考え方について、不適切な記述を選ぶ問題です。
考え方と解き方
選べる対応を一つに限ると考えると、複数の対応を組み合わせる考え方を見落とします。
- リスク対応の選択肢は、一つに決めるとは限らず、複数の選択肢にまたがる対処を行うことがあります。
- エは、対応を組み合わせないとしているので不適切です。正しくは、一つのリスクに対して、複数の対応を組み合わせて用いることもあります。
- したがって、最も不適切なのは エ です。
ほかの選択肢
- ア 契約によるリスクの分散も、リスクを他者と分け合う対応なので、リスク共有に含まれます。
- イ リスク低減には、リスクの起こりやすさを下げる対応と、影響を下げる対応の、どちらも含まれます。
- ウ 影響が小さいリスクなどを、情報に基づいて許容する対応は、リスク保有です。
覚えておくこと
- リスク分散：リスク共有の一つ。契約などで、リスクを他者と分けて持つ
- リスク低減：対策を講じて、リスクの起こりやすさや影響を下げる
- 対応の選択肢は順番ではなく、リスクに応じて選び、組み合わせてもよい
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。