残留リスク

リスク対応を実施した後にも残るリスク。すべてのリスクを完全に排除することは不可能であるため、残留リスクがリスク受容基準内にあるかを確認し、経営陣が受容の判断を行う。

リスク対応を実施した後もなお残るリスク。対策によってリスクをゼロにはできないため、残留リスクの水準がリスク受容基準の範囲内かを確認し、リスク所有者の承認を得たうえで受け入れる。

リスク対応策を実施した後にも残るリスク。リスク対応によって完全にリスクを排除できない場合に発生する。残存リスクが許容可能なレベルかを評価し、必要に応じて追加の対応策を講じる。

リスク対応策を実施した後に残存するリスク。全てのリスクを完全に除去することは不可能であるため、残留リスクが許容水準以下であることを確認し、経営者が受容の判断を行う。

リスク対応を実施した後に残るリスク。すべてのリスクを完全に除去することは不可能であるため、残留リスクが組織のリスク受容基準内に収まっているかを確認し、経営層が承認する必要がある。

情報資産に損害を与える原因となり得る事象や行為。不正アクセスやマルウェアといった人為的なもの、地震や火災などの環境的なもの、誤操作のような偶発的なものに分けられる。

脅威につけ込まれる弱点。ソフトウェアの不具合（セキュリティホール）だけでなく、規程の不備、教育不足といった人的・組織的な弱さも含む。脅威と脆弱性がそろうとリスクが現実化する。

情報資産に対する脅威と脆弱性を洗い出し、リスクの大きさを評価するプロセス。リスク特定、リスク分析、リスク評価の3つのプロセスで構成され、リスク対応の優先順位付けの基礎となる。

リスクの発生頻度や影響度を低減するための対策を講じること。リスク回避、リスク低減、リスク移転（転嫁）、リスク保有（受容）の4つの対応方法がある。

リスクの原因となる活動そのものをやめて、リスクを取り除くリスク対応。危険な機能を提供しない、該当業務から撤退するなどが該当する。効果は確実だが、得られたはずの利益も失う。

リスクによる損失の負担を他者に移すリスク対応。保険への加入や業務の外部委託が該当する。リスク共有とも呼ばれるが、説明責任まで移せるわけではない点に注意が必要。