情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度春期 午前Ⅰ 問13: JIS Q 31000:2010（リスクマネジメント−原則及び指針）における，残留リスクの定義はどれか。

正解

エ. リスク対応後に残るリスク

問題の解説

JIS Q 31000における残留リスクとは、リスク対応（低減・回避・移転など）を実施した後になお残るリスクのこと。エが定義に合致する。すべてのリスクを完全に消すことは難しく、対応後の残りを認識・受容することがリスクマネジメントの要点。残留リスクを評価し許容水準内かを確認する姿勢は、情報セキュリティ管理でも不可欠である。

選択肢ごとの解説

• ア監査人が不備を見逃す発見リスクの説明で、残留リスクの定義ではなく誤り。
• イ業務固有の性質から生じる固有リスクの説明であり、対応後に残るリスクとは異なり誤り。
• ウ利益に内在する損失可能性を指す投機的リスクなどの説明で、残留リスクの定義ではなく誤り。
• エリスク対応後になお残るリスクという、JIS Q 31000の残留リスクの定義どおりで正しい。