リスク保有

リスクを認識した上で、特別な対策を講じずにそのリスクを受け入れること。リスクの影響が小さい場合や、対策コストがリスクの影響を上回る場合に選択される。残留リスクとして管理する。

リスクを認識したうえで、特別な対策を取らずに受け入れるリスク対応。受容ともいう。影響が小さい場合や、対策費用が想定損失を上回る場合に選ばれる。判断の記録を残すことが重要。

リスクレベルが受容基準以下である、あるいは対策費用が損失見込みを上回るなどの理由で、特段の対策をとらずにそのまま受け入れる対応。無策の放置とは異なり、承認と記録を伴う意思決定である点が重要。

リスクを認識した上で、特別な対策を講じずにそのリスクを受け入れること。リスクの影響が小さい場合や、対策コストがリスクの影響を上回る場合に選択される。残留リスクとして管理する。

リスクの特定、分析、評価を体系的に行うプロセス。リスクの発生確率と影響度を評価し、対策の優先度を決定する。経営リスクや情報セキュリティリスクなど、さまざまな分野のリスクマネジメントの中核的な手法。

組織のIT部門の管理・許可なく、従業員が個人のデバイスやクラウドサービスを業務に使用すること。情報漏えいやセキュリティリスクの原因となる。

組織の情報資産に対して、どのようなリスクが存在するかを洗い出すプロセス。脅威と脆弱性を把握し、リスクの一覧を作成する。

特定されたリスクについて、発生確率と影響度を分析してリスクの大きさを算定するプロセス。定量的分析と定性的分析の手法がある。

リスク分析の結果をもとに、リスクの重大性を判断し、対応の優先順位を決定するプロセス。許容可能なリスクかどうかの判断基準と比較して評価する。

リスク評価の結果に基づいて、リスクに対する具体的な対処方法を選択・実施するプロセス。回避、移転、低減、保有の4つの対応方法がある。