解説

リスク対応の「保有」とは、リスクの発生可能性・影響が許容範囲内であると判断してリスクをそのまま受け入れることです。これに対し「保有以外のリスク対応」には回避（リスクの原因となる活動を停止）・低減（発生確率または影響度を下げる対策を実施）・移転（保険・外部委託によりリスクを第三者に移す）があります。本設問では情報資産ごとにリスクの大きさ（影響度×発生可能性）と許容限度を比較し、許容限度を超えているものが「保有以外の対応が必要」と判断されます。正解はd（(一)と(三)）です。許容限度を超えるリスクを持つ情報資産には積極的なリスク対応が必要であり、単に受容（保有）するだけでは不適切です。リスクアセスメントの結果に基づいて各資産のリスクレベルを評価し、組織のリスク許容値と比較して対応方針を決定することがISMS運用の核心です。

なぜ他の選択肢は違うのか

選択肢 ア

「(一)と(二)の組合せ」は正しい組合せではありません。(二)の情報資産は許容範囲内のリスクであり保有（受容）で問題ない判断がなされています。リスク対応の選択はリスクレベルと許容値の比較によって決まります。

選択肢 イ

「(一)(二)(三)すべて」は(二)を誤って保有以外の対応が必要と判断しており不正解です。(二)は許容範囲内のリスクとして保有で対処できると評価されています。

選択肢 ウ

「(一)(二)(四)の組合せ」も(二)を含む誤答と、(三)を除く誤りを含んでいます。リスクマトリクスやリスクレジスターの数値を正確に読み取り、保有の閾値と比較することが求められます。

解くときのポイント

リスク対応の判断基準：①リスクレベル（影響度×発生確率）を算出②組織のリスク許容値（受容基準）と比較③許容値超→回避/低減/移転を選択、許容値以内→保有。設問の表でリスク値と許容限度の大小関係を正確に読み取ることが鍵。