残留リスク

リスク対応を実施した後にも残るリスク。すべてのリスクを完全に排除することは不可能であるため、残留リスクがリスク受容基準内にあるかを確認し、経営陣が受容の判断を行う。

リスク対応を実施した後にも残るリスク。リスクをゼロにはできないため必ず生じる。経営層が内容を把握し、受容できる水準かどうかを承認しておくことが求められる。

リスク対応を実施した後もなお残るリスク。対策によってリスクをゼロにはできないため、残留リスクの水準がリスク受容基準の範囲内かを確認し、リスク所有者の承認を得たうえで受け入れる。

リスク対応策を実施した後にも残るリスク。リスク対応によって完全にリスクを排除できない場合に発生する。残存リスクが許容可能なレベルかを評価し、必要に応じて追加の対応策を講じる。

リスク対応策を実施した後に残存するリスク。全てのリスクを完全に除去することは不可能であるため、残留リスクが許容水準以下であることを確認し、経営者が受容の判断を行う。

リスク特定、リスク分析、リスク評価のプロセス全体を指す。情報資産に対する脅威と脆弱性を洗い出し、リスクの大きさを算定し、対応の優先度を判断する。ISMSにおけるリスクマネジメントの中核プロセスである。

リスクアセスメントの結果に基づき、リスクに対して適切な対策を選択・実施すること。リスク低減（管理策の適用）、リスク回避（リスク源の排除）、リスク共有（移転・分散）、リスク保有（受容）の4つの選択肢がある。

組織にとって価値があり保護すべき情報及びそれを扱う資源。データや文書のほか、ハードウェア、ソフトウェア、要員、サービスも含まれる。機密性・完全性・可用性の観点で重要度を分類し、情報資産台帳で管理する。

業務プロセスや人、システム、外部事象の不備によって損失が生じるリスク。情報システムの障害、事務ミス、不正行為、災害などが含まれ、金融機関の自己資本規制でも管理対象とされている。

国際情勢や紛争、経済制裁、法規制の変化によって事業やサプライチェーンが影響を受けるリスク。国家を背景としたサイバー攻撃や、特定国の製品・サービスの利用制限として情報セキュリティにも波及する。

損失を直接引き起こす事故や事象そのもの。火災、地震、盗難、システム障害などが該当する。損失の発生確率を高める背景的な条件であるハザードと区別して用いる。