残留リスクに関する記述｜情報セキュリティマネジメント 令和8年 公開問題 問1
出典：令和8年度 公開問題 科目A 問1
分野：セキュリティ ／ 情報セキュリティ管理
情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち，適切なものはどれか。
- ア：経営者の意思決定に従って保有したリスクは，残留リスクに含まれない。
- イ：特定されていないリスクは，残留リスクに含まれない。
- ウ：リスク対応を行った後に残るリスクは，残留リスクである。
- エ：リスクを生じさせる活動を継続しないという決定によって回避したリスクは，残留リスクである。
TSUNAGARU-ADVICE
まず押さえたいこと
残留リスクとは、リスク対応を実施した後にも残っているリスクのことです。情報セキュリティ対策を行ってもリスクを完全にゼロにできるとは限らないため、残ったリスクが許容できる水準かを判断することが重要です。
迷ったときの判断軸
「対応した後に残る」という表現が、残留リスクを見分ける基本の判断軸です。一方、リスクを生じさせる活動自体をやめるのはリスク回避です。リスク対応の種類と、対応後にもリスクが残っているかを切り分けて考えましょう。
科目Bにつなげるために
科目Bでは、対策を実施したから安全と考えるのではなく、対策後に何のリスクが残るかまで確認する視点が重要です。事例文では、導入済みの管理策、その効果、残る脅威や弱点を整理し、追加対策やリスク受容が必要かを判断できるようにしましょう。
残留リスクとは、リスク対応を行った後にも残っているリスクのことです。リスクを完全になくすことが難しい場合、対策によって発生可能性や影響を小さくしても、一定のリスクが残ることがあります。
本問では、「リスク対応を行った後に残る」という表現が判断のポイントです。この説明は残留リスクの定義そのものなので、ウが適切です。
例えば、不正アクセス対策としてファイアウォールや多要素認証を導入しても、不正アクセスの可能性を完全に0にできるとは限りません。このように、対策後にも残る部分を残留リスクと考えます。
❌他選択肢が誤りの理由ア：経営者の意思決定に従って保有したリスクは，残留リスクに含まれない。
⇒リスク保有は、リスクの存在を認識したうえで、そのリスクを受け入れる対応です。受け入れて組織に残っているリスクも残留リスクに含まれるため、「含まれない」とする点が適切ではありません。
イ：特定されていないリスクは，残留リスクに含まれない。
⇒残留リスクには、リスク対応後に意図的に残したリスクだけでなく、認識されていないリスクが含まれる場合もあります。そのため、特定されていないことだけを理由に残留リスクから除外することはできません。
エ：リスクを生じさせる活動を継続しないという決定によって回避したリスクは，残留リスクである。
⇒リスクを生じさせる活動そのものを中止する対応は、リスク回避です。活動をやめることでそのリスクを避けているため、回避したリスクそのものを残留リスクとは呼びません。