分野 S｜セキュリティ 重点分野
リスク対応（回避・低減・移転・保有）
今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『2 リスクマネジメント／情報セキュリティリスク対応』
最終更新
問われ方
- 残留リスクを、リスク対応の後に残るリスクとして選ぶ形
- リスクを受容する時に、だれが承認するかを選ぶ形
- 問われるとしたら：事例の対応が、回避・低減・移転・保有のどれかを選ぶ形
- 問われるとしたら：リスク対応計画に書く内容を選ぶ形
覚えること
- リスク対応：リスクアセスメントの結果を受け、対処の選択肢を選んで実施する
- リスク低減（軽減）：対策を講じて脆弱性を改善し、事故が起きる可能性を下げる
- リスク回避：やり方を変えて、リスクそのものをなくす
- 回避の例：業務は続けたまま、保存していた個人情報を利用後すぐに消去する
- リスク移転（共有）：有効な対策や補償能力をもつ他社のサービスを使い、負担を下げる
- 移転の例：保険への加入、外部の決済代行や、対策の充実したクラウドへの移行
- リスク保有（受容）：受容できる時や、費用が損害額を上回る時は、対策せず現状を維持
- リスクを受容する時は、リスク所有者が承認する
- 残留リスク：リスク対応の後に残るリスク。保有したリスクも含む
- 回避したリスクは、その活動をしないので、残留リスクにならない
- リスクコントロール、リスクヘッジ、リスクファイナンシング：用語例
- リスクファイナンシングの例：保険に加入して、損失に備える
- リスクコミュニケーション：用語例
- 対応策の優先順位：リスクの大きさ、費用、残留リスクを許容できるかを考える
- リスク対応計画：実施項目、資源、責任者、完了予定時期、実施結果の評価方法を書く
ひっかけ
- 保険に入るのは、リスク保有ではなく、リスク移転
- 外部サービスに任せるのは、リスクをなくす回避ではなく、他社に負担を移す移転
- 受容を決めたリスクも、残留リスクとして残る
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
この対応に当たるリスク対応の選択肢として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、イベントの申込書に書かれた個人情報が、紙の保管と入力作業の過程で漏えいするリスクへの対応を検討している。B さんは、申込の受付は今後も続け、受付と保管を、対策の充実した外部の申込受付サービスに切り替えることにした。切替え後、A 社では申込内容を手元に保持しない。
正解：イ リスク移転：有効な対策をもつ他社のサービスを使い、自社の負担を下げる。
ポイント
事例の対応が、リスク対応の4つの選択肢のどれに当たるかを問う問題です。
考え方と解き方
リスク対応は、低減・回避・移転・保有を、何をするかで区別します。管理者の立場では、業務を続けるのか、やめるのか、他社のサービスに任せるのかを先に確かめます。
- 申込を受け付けて保管する業務は残り、漏えいのリスクも、対策の充実した外部のサービスの側に残ります。自社でやり方を変えてリスクをなくしたのではなく、有効な対策をもつ他社のサービスを使って、自社の負担を下げています。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 低減は、自社で対策を導入や強化して、事故の可能性を下げる対応です。この対応は、他社のサービスに切り替えるものです。
- ウ 回避は、自社のやり方を変えて、想定されるリスクそのものをなくす対応です（例：利用後すぐに消去する）。この対応は、他社のサービスに受付と保管を任せていて、リスクは外部サービスの側に残ります。
- エ 保有は、対策を講じず現状を維持する対応です。この対応では、受付と保管の方法を切り替えています。
覚えておくこと
- リスク移転（共有）：有効な対策や補償能力をもつ他社のサービスを使い、負担を下げる
- 移転の例：保険への加入、外部の決済代行や、対策の充実したクラウドへの移行
- リスク回避：やり方を変えて、リスクそのものをなくす
（テーマ・覚えること）
リスク対応計画の作成の方針として、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、リスク対応計画の作り方を、次の a〜c にまとめた。
- a 実施項目、資源、責任者、完了予定時期、実施結果の評価方法を記載する。
- b 対応策の優先順位は、リスクの大きさだけで決め、対応策の費用は考慮しない。
- c 対応策を実施しても残るリスクを許容できるかを考慮して、優先順位を検討する。
正解：ウ a、c
ポイント
リスク対応計画の作り方と、優先順位の考え方を問う問題です。
考え方と解き方
リスク対応計画は、だれが、何を、いつまでに、どう評価するかを決める文書です。優先順位は、リスクの大きさだけでなく、費用と残留リスクも合わせて考えます。
- a は適切です。計画には、実施項目、資源、責任者、完了予定時期、実施結果の評価方法を書きます。b は不適切です。優先順位は、リスクの大きさに加え、対応策の費用も考えて決めます。c は適切です。対応策を実施しても残るリスクを許容できるかを考えます。
- したがって、適切なのは a、c の全てで、ウ です。
ほかの選択肢
- ア b は不適切なので含められません。また、c も適切なので、a、b では組合せが合いません。
- イ b は不適切なので、a、b、c の全てとはなりません。
- エ b は不適切です。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- リスク対応計画：実施項目、資源、責任者、完了予定時期、実施結果の評価方法を書く
- 対応策の優先順位：リスクの大きさ、費用、残留リスクを許容できるかを考える
（テーマ・覚えること）
B さんが選ぶ対応として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、来客用の無線 LAN のリスクへの対応を検討している。想定される損害額は年間 50 万円で、事業への影響は小さい。リスクを下げる対策の費用は年間 200 万円、保険の費用は年間 100 万円である。この無線 LAN をやめると、来客対応に大きな支障が出る。
正解：エ リスク保有：対策を講じず、リスクを受容できるものとして現状を維持する。
ポイント
費用と損害額から、リスク保有を選ぶ問題です。
考え方と解き方
リスク保有は、事業への影響が小さい時や、対策の費用が損害額を上回る時に、対策を講じず現状を維持する対応です。管理者の立場では、損害額と費用を並べて比べることを先に考えます。
- 低減の費用（年間 200 万円）も、移転の費用（年間 100 万円）も、想定損害額（年間 50 万円）を上回ります。回避は、来客対応に大きな支障が出ます。
- 影響が小さく、対策の費用が損害額を上回るので、対策を講じず現状を維持するのが合います。したがって、最も適切なのは エ です。
ほかの選択肢
- ア 費用の年間 200 万円が、想定損害額の年間 50 万円を上回ります。
- イ 保険の費用の年間 100 万円が、想定損害額の年間 50 万円を上回ります。
- ウ 提供をやめると、来客対応に大きな支障が出ます。影響の小さいリスクのために、この対応は釣り合いません。
覚えておくこと
- リスク保有（受容）：受容できる時や、費用が損害額を上回る時は、対策せず現状を維持
- リスク移転（共有）：有効な対策や補償能力をもつ他社のサービスを使い、負担を下げる
- リスク低減（軽減）：対策を講じて脆弱性を改善し、事故が起きる可能性を下げる
（テーマ・覚えること）
実施後に残るリスクの扱いとして、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、顧客データの持ち出しのリスクに、USB メモリーの接続制限というリスク低減を実施した。実施後も、持ち出しのリスクが残ることを確認した。
正解：ア 受容基準と比べ、範囲内ならリスク所有者の承認を得て受容し、残留リスクとして監視する。
ポイント
リスク対応の後に残る残留リスクの扱いを問う問題です。
考え方と解き方
残留リスクは、リスク対応の後に残るリスクで、保有したリスクも含みます。受容するかは、受容基準と比べて決め、リスク所有者が承認します。管理者の立場では、残ったリスクを記録し、見続けることを先に考えます。
- 対策を実施した後に残るリスクは、残留リスクです。受容基準と比べ、範囲内であれば、リスク所有者の承認を得て受容します。
- 受容したリスクも、監視の対象から外しません。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 対応の後に残るリスクは、受容基準の範囲内であっても残留リスクです。記録の対象になります。
- ウ 保有したリスクも残留リスクに含まれます。受容したリスクは、監視やレビューの対象外にはしません。
- エ 受容するかは、受容基準と比べて決めます。基準を超えるなら、追加の対応を検討します。
覚えておくこと
- 残留リスク：リスク対応の後に残るリスク。保有したリスクも含む
- リスクを受容する時は、リスク所有者が承認する
- リスク保有（受容）：受容できる時や、費用が損害額を上回る時は、対策せず現状を維持
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。