リスク回避

リスクの原因となる活動やシステムの利用を取りやめることでリスクをなくす対応方法。リスクが大きすぎて他の対策では対処しきれない場合に選択される。

リスクを生じさせる活動を開始しない、または継続しないことでリスクを取り除く対応方法。リスクが許容できないレベルの場合に、事業やサービスそのものを中止・撤退する判断を行う。

リスクを生む活動そのものを取りやめる、あるいは着手しないことでリスクをなくす対応。個人情報の収集をやめる、危険な業務を廃止するなどが該当する。効果は確実だが、得られるはずの便益も失う点に注意を要する。

脅威を完全に排除するリスク対応戦略。リスクの原因を除去するか、プロジェクト計画を変更してリスクの影響を受けないようにする。例として、リスクの高い技術の使用を避ける、スコープを変更するなどがある。

リスク対応の選択肢の一つで、リスクを生じさせる活動そのものを取りやめること。リスクの発生源を除去する最も確実な対応策だが、ビジネス機会の喪失を伴う場合がある。

リスクを生じさせる活動そのものを行わない、又は中止することでリスクをなくす対応。機微情報の取扱いをやめる、リスクの高いサービスを廃止するなどが該当する。事業機会も同時に失う点に留意する。

情報資産に損害を与える原因となり得る事象や行為。不正アクセスやマルウェアといった人為的なもの、地震や火災などの環境的なもの、誤操作のような偶発的なものに分けられる。

脅威につけ込まれる弱点。ソフトウェアの不具合（セキュリティホール）だけでなく、規程の不備、教育不足といった人的・組織的な弱さも含む。脅威と脆弱性がそろうとリスクが現実化する。

情報資産に対する脅威と脆弱性を洗い出し、リスクの大きさを評価するプロセス。リスク特定、リスク分析、リスク評価の3つのプロセスで構成され、リスク対応の優先順位付けの基礎となる。

リスクの発生頻度や影響度を低減するための対策を講じること。リスク回避、リスク低減、リスク移転（転嫁）、リスク保有（受容）の4つの対応方法がある。

リスクによる損失の負担を他者に移すリスク対応。保険への加入や業務の外部委託が該当する。リスク共有とも呼ばれるが、説明責任まで移せるわけではない点に注意が必要。

リスクを認識したうえで、特別な対策を取らずに受け入れるリスク対応。受容ともいう。影響が小さい場合や、対策費用が想定損失を上回る場合に選ばれる。判断の記録を残すことが重要。