情報セキュリティマネジメント 2026年 科目A 問01

残留リスク【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「残留リスク」が何を指すかをはっきりさせる：対応（対策）を実施した後に残るリスクかどうか。
2. 各選択肢をその定義に照らす：対応後に残っているか、あるいはそもそも存在しないか。
3. 対応の結果として「残る」ものだけを残留リスクと認定する。
4. 選択肢の語句（保有・特定されていない・回避）をそれぞれ「対応後に残るか」で判定する。

選択肢別の誤答解説

• ア: 「経営者の意思決定に従って保有したリスクは、残留リスクに含まれない。」
  誤り。経営者がリスクを受容（保有）する決定をした場合、そのリスクは対応（受容という選択）を経た後に残っているため、残留リスクに含まれます。受容はリスク対応のひとつであり、結果的に残るリスクは残留リスクです。
• イ: 「特定されていないリスクは、残留リスクに含まれない。」
  一見正しく見えますが、混乱しやすい点があります。未特定のリスク（まだ把握していないリスク）は「存在する可能性があるが認識されていないリスク」です。残留リスクは通常「既に特定されているリスクに対して対応を行った後に残るもの」を指すため、未特定リスクはカテゴリ的に残留リスクとは区別されます。つまり「未特定リスクは残留リスクではない」という主張自体は概念的に合っていますが、問題文の意図（リスクマネジメントの一般定義）では“残留リスクは対応後に残る既知のリスク”が正しい定義なので、選択肢としては正解にならない理由を明確にできます。重要なのは、「未特定リスクは別扱い（未知のリスク）」であり、残留リスクの定義の核心は“対応後に残る”点です。
  （つまり、未特定のリスクを理由に残留リスクを否定するのは定義のずらしであり、出題意図に合致しません。）
• ウ: 「リスク対応を行った後に残るリスクは、残留リスクである。」
  正しい。これが残留リスクの標準的な定義です。例：情報漏えい対策を強化しても、完全ゼロにはできないリスクが残る。それが残留リスクです。
• エ: 「リスクを生じさせる活動を継続しないという決定によって回避したリスクは、残留リスクである。」
  誤り。活動を中止してリスクを生じさせなくした場合、そのリスクは回避（avoidance）され、発生の可能性自体がなくなるため残留しません。よって残留リスクには該当しません。

よくある誤解

1. 「受容したリスクは残留リスクではない」と勘違いする
   実際は、受容（リスクを保有する決定）もリスク対応の一種です。受容後に残るリスクは残留リスクに含まれます。
2. 「未特定のリスク＝残留リスク」と混同する
   未特定リスクは“まだ認識していない”リスクで、残留リスクは“対応後に残る既知のリスク”です。扱い方が異なります。
3. 「回避は残留の一種」と誤認する
   回避（リスク要因を除去）が成功すれば、そのリスクは残らないため残留にはなりません。

補足コラム

FAQ