ぞうログ情報セキュリティにおけるリスクマネジメントとは、組織の情報資産に対するリスクを継続的に管理する活動全体を指す。リスクは「資産」「脅威」「脆弱性」が組み合わさって顕在化するものであり、これを漏れなく洗い出して評価し、適切な対応を選ぶ一連の流れを理解しておく必要がある。試験では、リスクアセスメントの各工程の名称と、リスクへの4つの対応の違いが繰り返し問われる。
リスクアセスメントの3ステップ
リスクへの対応を決める前段階として、次の3つの工程からなる「リスクアセスメント」を行う。
- リスク特定：組織の情報資産に対して、どのような脅威や脆弱性が存在し、どのようなリスクがあり得るかを洗い出す工程。
- リスク分析：特定したリスクについて、発生する可能性（発生頻度）と、発生した場合の影響の大きさを見積もる工程。
- リスク評価：分析結果をあらかじめ定めたリスク基準と比較し、対応が必要かどうか、対応の優先順位をどうするかを判断する工程。
この3工程を合わせて「リスクアセスメント」と呼び、その後の「リスク対応」につなげる。
リスク対応の4つの選択肢
リスク評価の結果に基づき、リスクへの対応方針は次の4つに分類される。
- リスク低減（軽減）：対策を講じることで、リスクの発生可能性や影響を小さくすること。ファイアウォールの導入やアクセス権限の見直しなどが該当する。
- リスク回避：リスクの原因となる活動そのものをやめる、または行わないようにすること。例えば、脆弱性が解消できないサービスの提供自体を中止する対応が該当する。
- リスク移転（共有）：リスクによる損失を自組織以外に移す、または分散させること。サイバー保険への加入や、業務の外部委託（アウトソーシング）が代表例。
- リスク受容：対策にかかるコストがリスクによる被害の見込み額を上回る場合など、あえて対策を取らずそのリスクを受け入れること。
リスク低減とリスク回避は混同しやすい。リスク低減は対策を講じて影響や発生可能性を「小さくする」対応、リスク回避は原因となる活動そのものを「やめる」対応であり、対策の有無で区別する。
残留リスクとリスク受容基準
どのような対応を取っても、リスクを完全にゼロにすることは難しく、対応後もなお残るリスクを「残留リスク」と呼ぶ。組織はあらかじめ「リスク受容基準」を定め、残留リスクがその基準の範囲内に収まっているかどうかを、責任者（リスクオーナー）が判断する。
リスク対応は一度実施して終わりではない。「特定→分析→評価→対応」のサイクルを、環境の変化に応じて継続的に回し続ける点も押さえておきたい。
試験では、「リスク低減とリスク回避の違い」「リスク移転とリスク受容の違い」など、対応方針を事例から選ばせる問題が頻出する。「原因となる活動をやめるのか（回避）」「対策で影響を小さくするのか（低減）」「損失を他者に移すのか（移転）」「そのまま受け入れるのか（受容）」という軸で整理しておくとよい。