試験において最も頻出するテーマは、「リスク対応」の4分類（回避・低減・移転・保有）の定義と、具体的な対策例を正しく結びつける問題です。例えば、「火災や自然災害に備えて損害保険を契約する」は「移転」、「セキュリティ上の脆弱性が発見された古いWebサーバーの使用を取りやめる」は「回避」、「不正アクセスを防ぐためにファイアウォールを設置する」は「低減」、「対応費用が高額なため軽微なバグを修正せず監視のみとする」は「保有」といったように、提示されたシナリオから適切な対応手段を正しく判別できるようにしておくことが必要です。

また、リスク（Risk）が、「脅威（外部からの悪意ある攻撃や災害などの要因）」と「脆弱性（システムや組織に存在するセキュリティ上の弱点）」が掛け合わされることによって発生する、という基本的な関係性も記述式や選択肢で問われやすいため、公式として整理しておくと理解が深まります。

リスクアセスメントにおいて評価の対象となる、外部の悪意ある攻撃要因である「脅威」、システム側の弱点を表す「脆弱性」、リスク低減のための具体的なセキュリティ認証技術である「多要素認証」などがあります。