リスク回避

リスクの原因となる活動やシステムの利用を取りやめることでリスクをなくす対応方法。リスクが大きすぎて他の対策では対処しきれない場合に選択される。

リスクを生じさせる活動を開始しない、または継続しないことでリスクを取り除く対応方法。リスクが許容できないレベルの場合に、事業やサービスそのものを中止・撤退する判断を行う。

リスクの原因となる活動そのものをやめて、リスクを取り除くリスク対応。危険な機能を提供しない、該当業務から撤退するなどが該当する。効果は確実だが、得られたはずの利益も失う。

リスクを生む活動そのものを取りやめる、あるいは着手しないことでリスクをなくす対応。個人情報の収集をやめる、危険な業務を廃止するなどが該当する。効果は確実だが、得られるはずの便益も失う点に注意を要する。

脅威を完全に排除するリスク対応戦略。リスクの原因を除去するか、プロジェクト計画を変更してリスクの影響を受けないようにする。例として、リスクの高い技術の使用を避ける、スコープを変更するなどがある。

リスク対応の選択肢の一つで、リスクを生じさせる活動そのものを取りやめること。リスクの発生源を除去する最も確実な対応策だが、ビジネス機会の喪失を伴う場合がある。

リスク特定、リスク分析、リスク評価のプロセス全体を指す。情報資産に対する脅威と脆弱性を洗い出し、リスクの大きさを算定し、対応の優先度を判断する。ISMSにおけるリスクマネジメントの中核プロセスである。

組織にとって価値があり保護すべき情報及びそれを扱う資源。データや文書のほか、ハードウェア、ソフトウェア、要員、サービスも含まれる。機密性・完全性・可用性の観点で重要度を分類し、情報資産台帳で管理する。

業務プロセスや人、システム、外部事象の不備によって損失が生じるリスク。情報システムの障害、事務ミス、不正行為、災害などが含まれ、金融機関の自己資本規制でも管理対象とされている。

国際情勢や紛争、経済制裁、法規制の変化によって事業やサプライチェーンが影響を受けるリスク。国家を背景としたサイバー攻撃や、特定国の製品・サービスの利用制限として情報セキュリティにも波及する。

損失を直接引き起こす事故や事象そのもの。火災、地震、盗難、システム障害などが該当する。損失の発生確率を高める背景的な条件であるハザードと区別して用いる。

ペリル（事故）の発生確率や損失の大きさを高める潜在的な要因・環境条件。老朽化した設備、施錠されない扉、教育不足などが該当し、リスク分析ではハザードの除去が対策の起点となる。