・回避（Avoidance）： リスクの要因そのものを排除すること。個人情報の取り扱いそのものを中止する、脆弱なシステムの使用を廃止するなど。
・低減（Reduction / Mitigation）： リスクの発生確率を下げる、または発生時の被害を小さくする対策を行うこと。セキュリティソフトの導入、アクセス制限の設定、定期バックアップの実施など。
・移転（Transfer / Sharing）： リスクを他者に肩代わりさせること。サイバー保険への加入、業務の外部委託（アウトソーシング）など。
・保有（Retention / Acceptance）： リスクを認識したうえで、特に対策を行わずに受け入れること。対策コストが想定される損害額を上回る場合や、発生確率・影響度ともに極めて低い場合などに選択されます。
試験において最も頻出するテーマは、「リスク対応」の4分類（回避・低減・移転・保有）の定義と、具体的な対策例を正しく結びつける問題です。例えば、「火災や自然災害に備えて損害保険を契約する」は「移転」、「セキュリティ上の脆弱性が発見された古いWebサーバーの使用を取りやめる」は「回避」、「不正アクセスを防ぐためにファイアウォールを設置する」は「低減」、「対応費用が高額なため軽微なバグを修正せず監視のみとする」は「保有」といったように、提示されたシナリオから適切な対応手段を正しく判別できるようにしておくことが必要です。
また、リスク（Risk）が、「脅威（外部からの悪意ある攻撃や災害などの要因）」と「脆弱性（システムや組織に存在するセキュリティ上の弱点）」が掛け合わされることによって発生する、という基本的な関係性も記述式や選択肢で問われやすいため、公式として整理しておくと理解が深まります。
リスクアセスメントにおいて評価の対象となる、外部の悪意ある攻撃要因である「脅威」、システム側の弱点を表す「脆弱性」、リスク低減のための具体的なセキュリティ認証技術である「多要素認証」などがあります。