リスク保有

リスクを認識した上で、特段の対策を講じずに受け入れる対応方法。リスクが許容範囲内であるか、対策のコストがリスクによる損失を上回る場合に選択される。

リスクを認識した上で、特別な対策を講じずにそのリスクを受け入れること。リスクの影響が小さい場合や、対策コストがリスクの影響を上回る場合に選択される。残留リスクとして管理する。

リスクレベルが受容基準以下である、あるいは対策費用が損失見込みを上回るなどの理由で、特段の対策をとらずにそのまま受け入れる対応。無策の放置とは異なり、承認と記録を伴う意思決定である点が重要。

リスクを認識した上で、特別な対策を講じずにそのリスクを受け入れること。リスクの影響が小さい場合や、対策コストがリスクの影響を上回る場合に選択される。残留リスクとして管理する。

情報資産に損害を与える原因となり得る事象や行為。不正アクセスやマルウェアといった人為的なもの、地震や火災などの環境的なもの、誤操作のような偶発的なものに分けられる。

脅威につけ込まれる弱点。ソフトウェアの不具合（セキュリティホール）だけでなく、規程の不備、教育不足といった人的・組織的な弱さも含む。脅威と脆弱性がそろうとリスクが現実化する。

情報資産に対する脅威と脆弱性を洗い出し、リスクの大きさを評価するプロセス。リスク特定、リスク分析、リスク評価の3つのプロセスで構成され、リスク対応の優先順位付けの基礎となる。

リスクの発生頻度や影響度を低減するための対策を講じること。リスク回避、リスク低減、リスク移転（転嫁）、リスク保有（受容）の4つの対応方法がある。

リスクの原因となる活動そのものをやめて、リスクを取り除くリスク対応。危険な機能を提供しない、該当業務から撤退するなどが該当する。効果は確実だが、得られたはずの利益も失う。

リスクによる損失の負担を他者に移すリスク対応。保険への加入や業務の外部委託が該当する。リスク共有とも呼ばれるが、説明責任まで移せるわけではない点に注意が必要。