問53
頻出度★★★
ISMSにおけるセキュリティリスクへの対応には, リスク移転, リスク回避, リスク受容及びリスク低減がある。リスク回避に該当する事例はどれか。
平成27年度 春期 ITパスポート試験 問53
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 53
不正解ア
「セキュリティ対策を行って、問題発生の可能性を下げた」はリスク低減 (リスク軽減) の例。活動自体は続けたまま、発生確率や被害の大きさを対策によって小さくしているので、回避ではない。
不正解イ
「問題発生時の損害に備えて保険に入った」はリスク移転 (リスク転嫁) の例。損害の負担を保険会社という第三者へ移しているだけで、リスクを生む活動そのものは続いているため回避には当たらない。
不正解ウ
「リスクが小さいことを確認し、問題発生時は損害を負担することにした」はリスク受容 (リスク保有) の例。対策を取らずリスクをそのまま受け入れる判断であり、活動をやめる回避とは正反対の対応である。
- エ
正解 正解は エ。ISMS のリスク対応で「リスク回避」とは、リスクの原因となる活動そのものをやめる (または最初から行わない) ことで、リスクの発生源を消し去る対応を指す。「リスクの大きいサービスから撤退した」は、そのサービスを提供しないことでリスク自体を存在させなくする行為なので、まさにリスク回避に該当する。低減 (発生確率や影響を小さくする)、移転 (第三者に肩代わりさせる)、受容 (そのまま受け入れる) と違い、回避だけがリスクを抱えた活動自体を手放す点が決め手である。
ここがポイント
- リスク対応の 4 分類: 回避 (活動そのものをやめてリスクを消す)、低減 (対策で発生確率・影響を小さくする)、移転 (保険や外部委託で第三者に負担を移す)、受容/保有 (小さいリスクをそのまま受け入れる)。
- 見分け方のコツ: 「撤退・中止・やらない」= 回避、「対策・強化」= 低減、「保険・委託」= 移転、「何もせず受け入れる」= 受容。
用語