・回避（Avoidance）： リスクの要因そのものを排除すること。個人情報の取り扱いそのものを中止する、脆弱なシステムの使用を廃止するなど。
・低減（Reduction / Mitigation）： リスクの発生確率を下げる、または発生時の被害を小さくする対策を行うこと。セキュリティソフトの導入、アクセス制限の設定、定期バックアップの実施など。
・移転（Transfer / Sharing）： リスクを他者に肩代わりさせること。サイバー保険への加入、業務の外部委託（アウトソーシング）など。
・保有（Retention / Acceptance）： リスクを認識したうえで、特に対策を行わずに受け入れること。対策コストが想定される損害額を上回る場合や、発生確率・影響度ともに極めて低い場合などに選択されます。