リスク対応とは
リスク対応とは、リスクアセスメントによって評価されたリスクに対して、具体的にどのようなアプローチで対処するかを決定し、実行することです。リスクへの対応方法は、大きく分けて以下の4つに分類されます。それぞれの危険の大きさや、対策にかかるコストを比較しながら、最適な方法を選択します。
- 回避（かいひ）：リスクの原因そのものを取り除き、リスクが発生する確率をゼロにすること。
- 低減（ていげん）：システムのセキュリティを強化するなどして、発生確率を下げるか、発生時の被害を小さくすること。
- 移転（いてん）：保険への加入や他社への業務委託により、リスクによる損失を外部に分け合うこと。
- 受容（じゅよう）：被害が小さく、対策コストの方が高い場合に、リスクをそのまま受け入れること。
具体例
「個人情報が入ったUSBメモリを社外へ持ち出す際のリスク」に対する4つの対応例です。
- 回避：USBメモリの持ち出し自体を禁止し、社内ネットワーク経由でのみデータを共有します。
- 低減：持ち出す際は必ずパスワード付きでデータを暗号化し、ウイルスチェックを徹底します。
- 移転：情報漏洩に備えたサイバーセキュリティ保険に加入します。
- 受容：漏洩しても実害のない、公開情報のみが入ったUSBメモリは特別な制限を設けずに利用します。
もう少し詳しく
リスク対応（Risk Treatment）は、リスクアセスメントによって見出された許容できないリスクに対し、組織が取るべき具体的な戦略を決定する段階です。それぞれの対応を選択する基準は、対策にかかるコスト（費用）と、リスクがもたらす損失（被害額）のバランスです。例えば「低減」をする場合、10万円の被害を防ぐために100万円のシステムを導入するのは不合理なため、他の簡易なルール設定（低減）にするか、あるいはリスクを受け入れる「受容」を選択します。「回避」はリスクそのものを完全に排除する強力な手段ですが、ビジネス活動の制限（例：海外との取引をリスク回避のために一切禁止するなど）を伴うことが多いため、慎重な経営判断が必要です。「移転（共有とも呼ばれます）」は、クラウド事業者にシステム運用を委託して責任を分担したり、保険会社と契約して金銭的損失をカバーしたりする方法です。これら4つのアプローチを組み合わせ、組織全体のセキュリティとビジネスの継続性を最大化するポートフォリオを構築します。
試験でのポイント
試験では、具体的なセキュリティ対策の例が「回避・低減・移転・受容」のどれに該当するかを正しく識別できるかが最重要です。
・回避の例：個人情報の保有をやめる、危険な業務プロセスそのものを廃止する、USBメモリの利用自体を禁止する。
・低減の例：ファイアウォールの設置、従業員教育の実施、バックアップの取得、暗号化の適用など（大半の日常的なセキュリティ対策は「低減」に該当します）。
・移転の例：サイバー保険への加入、サーバー運用の外部委託（アウトソーシング）、SLA（サービス品質保証）に基づくクラウド移行。
・受容の例：残存リスク（対策後に残る小さなリスク）をそのまま許容する、対策費用が被害見込み額を上回るため何もしないと決定する。
特に「移転」と「低減」は問題文の書き方で混同しやすいため注意が必要です。例えば「保険に加入する」は損失の金銭的影響を移すため「移転」ですが、「システム会社に委託する」という場合も責任の移転にあたります。これらを整理して覚えておきましょう。
関連する用語
リスク対応に関連する用語には、事前に行う「リスクアセスメント」、リスクを数値で評価する「定量的リスク分析」、そしてリスク情報を整理・記録しておくための「情報資産管理台帳」があります。