正解：イ
各選択肢の解説
ア社内の掲示用資料の誤送信（発生可能性3、影響度1）
誤り。リスクの大きさは3×1＝3で、基準の6に届きません。最も起こりやすいリスクですが、 影響が小さいため対応の対象になりません。発生可能性だけで判断すると 選んでしまう選択肢です。
イ顧客情報を保存したノートPCの紛失（発生可能性2、影響度3）
正解。2×3＝6で、基準の6以上に当たります。どちらか一方が最大でなくても、 発生可能性と影響度の掛け合わせで基準を超えれば、対応が必要なリスクと判断します。
ウ基幹システムを置くデータセンターの大規模火災（発生可能性1、影響度3）
誤り。1×3＝3で、基準の6に届きません。影響度は最大ですが、めったに起こらないため この基準では受け入れる側に入ります。影響の大きさだけで判断すると 選んでしまう選択肢です。
エ取引先とのメールへの添付ファイルの誤り（発生可能性2、影響度2）
誤り。2×2＝4で、基準の6に届きません。どちらも中程度で目立たないリスクです。 基準に近いかどうかではなく、定めた線を超えるかどうかで機械的に判定するのが リスク評価です。
理解を深めるために
掛け算で大きさを出し、線と比べる
リスクの大きさは「どれだけ起こりやすいか」と「起きたらどれだけ困るか」の二つで決まります。 毎日のように起こるが困らないこと、めったに起こらないが起きたら致命的なこと。 どちらか片方だけを見ると判断を誤ります。
この問題の解き方
- リスク分析で、発生可能性と影響度を掛けてリスクの大きさを出す
- リスク評価で、その値をリスク基準（ここでは6以上）と比べる
| リスク | 発生可能性 | 影響度 | 大きさ | 判定 |
|---|---|---|---|---|
| ノートPCの紛失 | 2 | 3 | 6 | 対応が必要 |
| 掲示用資料の誤送信 | 3 | 1 | 3 | 基準未満 |
| データセンターの火災 | 1 | 3 | 3 | 基準未満 |
| 添付ファイルの誤り | 2 | 2 | 4 | 基準未満 |
基準未満は「放置」ではない
基準未満になったリスクは、この基準のもとでは受け入れる（リスク保有）判断になります。 ただしそれは「評価したうえで受け入れると決めた」ということで、何も考えずに放置するのとは 違います。また、火災のように起こりにくくても影響が極めて大きいものは、 事業継続計画（BCP）など別の枠組みで備えるのが普通です。
試験では、発生可能性か影響度の一方だけが最大の選択肢が必ず混ぜてあります。 掛け算をしてから基準と比べる、という手順を崩さないことが得点の鍵です。