【正解の解説】
リスク対応によってすべてのリスクが完全に排除され、組織内に残留リスクが残ることは一切なくなる。
世の中に「100%の安全」が存在しないのと同じです。例えば、家に出るゴキブリに対して、バルサンを焚いて、隙間をすべて埋めて、さらにホウ酸団子を置いたとしても、完全に出ないと言い切ることはできませんよね。このように、どれだけ万全なセキュリティ対策（リスク対応）を実施したとしても、完全にゼロにできないリスクが必ず残ります。これが「残留リスク」と呼ばれるものであり、完全にゼロにすることはコスト的にも現実的にも不可能なため、残ったリスクとどう付き合っていくかが重要になります。
【その他の選択肢の解説】
リスク対応を適切に実施したあとに残ったリスクの大きさを指し、リスク評価によって受容可能と判断されたものである。
試験では「残留リスク＝危険なもの、放置してはいけないもの」と誤解させる罠がよく出題されます。しかし、セキュリティ対策をコストと効果のバランス（費用対効果）で見極めた結果、「これ以上対策しても費用がかかるだけで効果が薄い」と判断し、あえて受け入れると決めたものが残留リスクです。つまり、リスク評価によって組織が「これなら許容できる」と太鼓判を押した安全圏内のリスクを指しており、決して不適切な記述ではありません。
残留リスクを特定した場合は、組織の管理策を見直すか、追加の対策を講じてさらなるリスク軽減を図る必要がある。
一度リスク対応を行った後であっても、残留リスクの大きさが組織の許容基準を超えていたり、新しいサイバー攻撃の登場によって状況が変わったりすることがあります。そのような場合には、そのまま放置するのではなく、追加のセキュリティ対策を講じたり、管理策を見直したりしてさらなるリスク軽減を図ることが求められます。PDCAサイクルを回してセキュリティレベルを維持・向上させる上での極めて正しいアプローチです。
リスク対応の計画を策定する段階において、あらかじめリスク受容基準に照らし合わせて特定されるものである。
セキュリティ対策を考えるときは、「どんな対策をするか」を決めるのと同時に、「対策をした後にはどれくらいの危険が残る（残留リスクになる）か」を事前に予測・計算する必要があります。あらかじめ「ここまでリスクが下がれば、うちの会社としてはOK（受容基準クリア）」というラインを決めておき、その基準に照らし合わせて計画を立てるため、この選択肢の内容は実務の現場でも試験の観点でも完全に正しい記述となります。