情報セキュリティマネジメントシステム
それ以外のリスクに関してはリスク対応の選択肢を選定する。リスク対応の選択肢としてJIPDECは、リスクを減らすリスク低減を行うか、リスクに関係する業務や資産を廃止・廃棄する事でリスク回避、契約などで他社とリスクを共有するリスク共有、および事業上の利益を優先してあえてリスクを取るまたは増加させるリスク・テイキングを例示し、リスク共有の方法として資産やセキュリティ対策をアウトソーシングする方法と保険などを利用するリスクファイナンスを例示している。
「管理策の決定」ではリスク対応で選んだ選択肢に応じてリスクを修正(modify)する対策である管理策((リスク)コントロールとも)を決定する。管理策の具体的な方法はJIS Q 27001:2014の附属書Aに記載されているが、そこに記載されていない管理策を選択してもよい。
「適用宣言書の作成」では必要な管理策およびそれらの管理策を含めた理由を記載した適用宣言書を作成する。
「情報セキュリティリスク計画書の作成」では情報セキュリティリスク計画を立てる。JIPDECは情報セキュリティリスク計画としてリスク低減や管理策の実装に関する実行計画を立案し情報セキュリティリスク計画書にまとめる事を推奨している。
「残留リスクの承認」では情報セキュリティリスク対応計画と受容リスクに関してリスク所有者の承認を得る。