【情報セキュリティマネジメント】リスク対応の4分類、見るのは「何が変わったか」｜回避・低減・共有・保有

2026.08.27

リスクアセスメントで対応が必要だと判断したら、次に「そのリスクをどう扱うか」を決めます。

混同しやすいのが、回避・低減・共有・保有です。特に、外部委託や保険によって自組織の責任までなくなると考えたり、対策費用が高いという理由だけで保有を選んだりすると、判断を誤ります。

この記事では、対応によって活動・発生可能性や影響・損失負担・受入れの判断のどこが変わったかを確認し、4分類を見分けます。

読み終えるころには、事例の対応がどの分類に当たるかを「何が変わったか」から判定でき、外部委託や保険で自組織の責任まで消えると考えていないかを確認できるようになります。

先に結論：対応によって何が変わったかを見る

学習上の分類 主に何を変えるか 代表例
回避 リスクを生じさせる活動・条件をなくす サービス終了、取扱中止、危険な機能の廃止
低減 発生可能性又は影響を小さくする 認証強化、脆弱性修正、監視、バックアップ
共有 リスクに伴う負担を他者と分ける 保険、契約による移転、複数先への分散
保有 リスクを理解した上で自組織に残す 受容可能と判断し、現状を維持する

なお、リスクへの向き合い方を表す語として、シラバスにはリスク忌避（リスクを避けようとする姿勢）とリスク選好（組織が取りにいこうとするリスクの量・種類）も挙げられています。どの対応を選ぶかは、この姿勢と組織のリスク基準に左右されます。

見分けるときは、次を確認します。

  1. 活動や条件そのものをなくしたか
  2. 管理策で発生可能性又は影響を下げたか
  3. 損失や依存を他者と分けたか
  4. リスクを自組織に残す判断をしたか

一つのリスクに複数の対応を組み合わせることもあります。

1．「4分類」は資料の用語を学習用に整理したもの

現行SGシラバスVer.4.1は、情報セキュリティリスク対応の用語例として、次を明示しています。

  • リスクコントロール
  • リスクヘッジ
  • リスクファイナンシング
  • サイバー保険
  • リスク回避
  • リスク共有（リスク移転、リスク分散）
  • リスク保有

一方、IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、情報セキュリティ対策を決める際の区分として、低減・保有・回避・移転を示しています。

したがって、回避・低減・共有・保有という四つが、SGシラバスにそのまま一組の公式4分類として記載されているわけではありません。

本記事では、SGシラバスの「共有」を上位の整理とし、IPAガイドの「移転」を共有の具体例として位置付けながら、対応問題を解くために四つへ整理します。

2．回避：リスクを生じさせる活動・条件をなくす

回避は、リスクを生じさせる活動を開始しない、活動を終了する、又は方法を変えて対象となるリスクそのものをなくす対応です。

例えば、重大な脆弱性がある旧式の外部公開サービスを廃止する場合は、回避の代表例です。

一方、

サービスは継続し、認証や監視を強化する

のであれば、活動自体は続いているため、主に低減と考えます。

放置は回避ではない

リスクを認識せず、対応の判断もしないまま活動を続ける状態は回避ではありません。

また、後述する保有も、単なる見落としや放置と同じではありません。

3．低減：発生可能性又は影響を小さくする

低減では、活動を継続しながら、管理策によってリスクを小さくします。

働き 例
発生可能性を下げる 多要素認証、アクセス制限、脆弱性修正、教育
早期発見・拡大防止につなげる ログ監視、アラート、異常検知
影響を小さくする バックアップ、復旧手順、代替設備

SGシラバスには「リスクコントロール」という語もあります。管理策によって発生可能性や影響へ働き掛ける考え方は低減と強く関係しますが、リスクコントロールとリスク低減を常に完全な同義語として扱う必要はありません。

管理策は費用だけで選ばない

管理策を選ぶときは、例えば次を考慮します。

  • リスクの大きさ
  • 発生可能性と影響のどちらへ働くか
  • 法令・契約・組織内規程
  • 費用と期待される効果
  • 技術面・運用面での実施可能性
  • 業務・利用者への影響
  • 継続運用できる体制

最も安価な管理策や、他社で実績がある管理策が、自組織にも最適とは限りません。

費用対効果の計算方法は「リスクの分析手法」の記事で扱います。

4．共有：移転・分散によって他者と分ける

SGシラバスVer.4.1では、リスク共有の例としてリスク移転とリスク分散が明示されています。

  • リスク移転：保険や契約、外部サービスの利用などによって、損失負担やリスクの一部を他者へ移す
  • リスク分散：一か所への集中を避け、複数の拠点・事業者などへ分ける

サイバー保険への加入は、共有・移転の代表例です。

ただし、保険で事故そのものがなくなるわけではなく、補償範囲、免責、支払限度額、通知条件なども契約によって異なります。予防・検知・対応・復旧の対策とは別に考えます。

外部委託は名称だけで分類しない

外部委託やクラウド移行は、問題文で強調される効果を確認します。

IPAの中小企業向けガイド第4.0版では、より有効な対策や補償能力をもつ他社サービスを利用して自社の負担を下げることをリスク移転の例として扱っています。

一方、実際の委託によって専門的な管理策が導入され、発生可能性が下がるという低減の効果も生じ得ます。

したがって、

外部委託だから必ず低減
外部委託だから必ず共有

と機械的に決めず、設問がどの効果・分類基準を問うているかを確認します。

また、委託しても委託元の管理責任まで自動的になくなるわけではありません。委託先のセキュリティ対策を確認し、自組織に残る役割・責任へ対応する必要があります。

5．サイバー保険とモラルハザード

サイバー保険は、情報漏えいやシステム障害などによって生じる金銭的損失の一部へ備える手段です。

契約時には、例えば次を確認します。

  • 補償される事故・損害
  • 補償対象外となる事項
  • 免責金額
  • 支払限度額
  • 事故時の通知・請求条件
  • 補償の前提となるセキュリティ対策

金銭補償を受けられても、信用低下、顧客との関係、業務停止などの影響が全て解消されるわけではありません。

モラルハザード

SGシラバスVer.4.1には、リスクの種類としてモラルハザードも明示されています。

保険や契約によって損失負担の一部が他者へ移ることで、当事者の予防行動が弱まる可能性があります。

「保険があるから更新や監視を省略する」「委託先が補償するから確認しない」といった判断は避けます。

6．保有：リスクを理解した上で自組織に残す

IPA第4.0版では、事故が発生しても受容できる場合や、対策費用が損害額を上回る場合などに、対策を追加せず現状を維持することを「リスクを保有する」と説明しています。

試験では、リスクを把握した上で保有を選んでいるかと、単なる未対応・放置を区別します。

例えば、

  • リスクの内容と大きさを把握する
  • 法令・契約等に反しないか確認する
  • 組織のルールに従って判断する

といった点を確認します。

保有という対応の選択と、残留リスクを受容基準と比較して正式に受け入れる手続は関連しますが、同じ説明を重ねる必要はありません。受容基準、リスク所有者、承認・記録・監視の詳細は「残留リスクとリスク受容」の記事で扱います。

7．複数の対応を組み合わせる

一つのリスクへ一種類の対応だけを使うとは限りません。

例えば、顧客情報を扱うサービスに対して、

  • 多要素認証を導入する → 低減
  • 複数の事業者・拠点へ分散する → 共有・分散
  • サイバー保険へ加入する → 共有・移転
  • 対応後にも残るリスクを所定の手続で受け入れる → 保有・受容に関係

というように組み合わせることがあります。

分類の目的は、対策を一つの箱へ無理に固定することではなく、その対応がリスクへどのように働くかを理解することです。

8．科目Bでの使われ方

科目Bでは、対応の名称ではなく、その行動によって何が変わったかを読み取る形で使われます。

  • 活動・機能を終了した

→ 回避

  • 管理策を追加して可能性・影響を小さくした

→ 低減

  • 保険・契約・分散で他者と分けた

→ 共有

  • リスクを把握した上で自組織に残した

→ 保有

外部委託やクラウド利用のように複数の効果がある行動では、問題文がどの効果を強調しているかを確認します。

担当者としては、委託や保険を採用した場合でも、自組織に残る役割・責任と、必要な予防・検知・復旧の対策を確認します。対応の選択が組織のリスク基準を超える場合や、保有を選ぶ判断が必要な場合は、独断で決めず、リスク所有者や上位者へ報告して指示を仰ぎます。

よくある取り違え

誤った理解 正しい整理
回避・低減・共有・保有がSGシラバスにそのまま公式4分類として並ぶ シラバスとIPAガイドの用語を対応問題向けに整理した四分類
管理策を追加して活動を続けるのが回避 活動を続けてリスクを小さくするなら主に低減
共有と移転は無関係 SGシラバスでは移転・分散が共有の例
保険への加入は保有 SGの整理では共有・移転として考える
委託すれば全てのリスクと責任が消える 委託元に残る管理責任・役割がある
外部委託は必ず低減 設問が強調する効果・分類基準を確認する
低いリスクなら何も確認せず放置してよい リスクを把握した上で保有を判断する
管理策は最も安いものを選べばよい リスク、要求事項、効果、実施可能性などを総合する

まとめ

  • 回避は、リスクを生じさせる活動・条件をなくす
  • 低減は、発生可能性又は影響を小さくする
  • SGシラバスでは、リスク共有の例としてリスク移転・リスク分散が明示される
  • IPA第4.0版は、低減・保有・回避・移転という区分を用いる
  • 本記事の「回避・低減・共有・保有」は、両資料と対応問題を学習しやすく整理したもの
  • 外部委託は、問題文の焦点によって低減又は移転など複数の側面を持ち得る
  • 委託・保険によって自組織の管理責任や必要な対策が全てなくなるわけではない
  • 保有は、把握したリスクを自組織に残す判断であり、単なる放置とは区別する
  • 受容基準・リスク所有者・正式な受容手続は残留リスクを扱う記事で整理する
  • 管理策選定では、費用だけでなくリスク、要求事項、効果、実施可能性などを考慮する

関連記事

  • C3-T04：管理策の3つの軸を整理する
  • C4-T03：リスクアセスメントの全体像
  • C4-T04：リスクの分析手法
  • C4-T06：残留リスクとリスク受容
  • C4-T07：リスク対応計画と管理
  • C7-T01：委託先の選定と事前調査
  • C7-T02：委託契約とセキュリティ要求事項
  • C7-T04：クラウドの責任共有モデル

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」

関連する問題

コメント

タイトルとURLをコピーしました