情報セキュリティマネジメント 2026年 科目A 問01

残留リスク【情報セキュリティマネジメント解説】

正解の理由

• リスク（risk）：将来発生する可能性がある問題や損害のこと。発生確率と影響の組合せで評価します。
• リスク対応（risk treatment）：リスクを減らす・移転する・回避する・受容（保有）するなどの対処行為。
• 残留リスク（residual risk）：対応後に残ったリスク。対策でゼロにならない部分。

解法ステップ

1. 問題文で問われている語（ここでは「残留リスク」）の基本定義を頭に浮かべる。
2. 「残留＝残る」という語感で、対応（action）後に“残っているもの”を指すか確認する。
3. 各選択肢をその定義に当てはめる：
   • 対策前／後、意図的に受け入れた状態、未特定のリスク、回避で消滅したリスク――どれが「対応後に残る」かをチェックする。
4. 一致する選択肢を選ぶ（この手順で ウ が残る）。

選択肢別の誤答解説

• ア: 経営者の意思決定に従って保有したリスクは、残留リスクに含まれない。
  • 誤り。ここでの「保有」はリスクを受容（accept）することを意味します。受容したリスクは、対策を講じても残るリスクとして扱われるため、残留リスクに含まれます。つまり「保有＝残す」という扱いになることが多いです。
• イ: 特定されていないリスクは、残留リスクに含まれない。
  • 誤り。特定されていないリスクは「未知のリスク」や「未認識のリスク」であり、通常は残留リスクとは区別されます。残留リスクは、特定して評価した上で対応した後に残る既知のリスクを指します。したがって「未特定＝残留ではない」が一見正しく思えても、問題文の定義に合わせるとイは不適切です（残留リスクの定義は“対応後に残るもの”であるため）。
• ウ: リスク対応を行った後に残るリスクは、残留リスクである。
  • 正解。定義どおりです。対応（軽減、移転、回避、受容など）をした結果としてもゼロにならないリスクを指します。
• エ: リスクを生じさせる活動を継続しないという決定によって回避したリスクは、残留リスクである。
  • 誤り。リスク回避（avoidance）はそのリスクの原因となる活動を止めることでリスクをなくす方法です。回避によりリスクが生じないので、残留（残る）リスクとはなりません。

よくある誤解

1. 「保有（受容）＝残留ではない」と勘違いする
   • 経営がリスクを受け入れた場合、それは残留リスクとして扱われることが多いです。受容は「対策を講じないでリスクを許容する」判断であり、結果として残るリスクです。
2. 「残留リスクは悪いものだけではない」と思わない
   • 残留リスクは必ずしも“管理不足”の証拠ではありません。コスト対効果や業務の必要性から、ある程度の残留リスクを許容することは普通にあります（ただしその判断は文書化・承認が必要）。
3. 「未特定のリスク＝残留リスク」と混同する
   • 未特定のリスク（未知）は、まず識別する必要があります。残留リスクは既知のリスクに対して対応した後に残るものです。

補足コラム

• 情報システムに対するリスクを評価して、ファイアウォール設置やバックアップ運用を行っても、完全にゼロにはならない部分が出ます。例えば「ゼロデイ脆弱性（未知の脆弱性）」や運用ミスの可能性などです。これらは残留リスクとしてリスク管理台帳（リスクレジスター）に記載し、許容可能な範囲かどうかを経営層に確認・承認します。承認したら定期的に見直し、状況に応じて追加措置を検討します。

• 残留リスクは「記録」「承認」「見直し」が必須です。口頭だけの了解では後で説明責任が果たせません。

FAQ