問89
頻出度★★★
A社では，自社の情報資産に関するリスク分析を実施した結果，近くの川が氾濫することで会社の1階にあるサーバルームが浸水するおそれがあることが分かった。サーバルームの移転も検討したが，川は100年前に1度氾濫したきりで，その可能性はほとんどないと判断し，特に対策は講じないことを経営層が決定した。A社が選択した情報セキュリティのリスク対応はどれか。
平成28年度 秋期 ITパスポート試験 問89
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 89
不正解ア
「リスクの移転」は、保険への加入や業務の外部委託などで、リスクによる損失の負担を第三者へ移すこと。本問では保険加入など損失を他者へ移す対応はとっておらず、単に対策をとらないと決めただけなので該当しない。
不正解イ
「リスクの回避」は、リスクの原因となる活動そのものをやめたり離れたりして、リスク自体を消し去ること。サーバルームの移転はこの回避に当たる案だが、本問では移転を検討したものの実施せず退けているため、選択した対応ではない。
- ウ
正解 正解は「ウ リスクの受容」。リスク受容とは、あるリスクの発生可能性や影響の大きさを評価したうえで、対策のコストや残存リスクを勘案し、あえて追加の対策を講じずにそのリスクを受け入れる対応をいう。本問では、川の氾濫による浸水リスクを分析した結果、移転という対策も検討したものの、氾濫は100年前に1度あったきりで発生可能性はほとんどないと経営層が判断し、「特に対策は講じないことを決定した」。リスクの存在を認識したうえで対策をとらずに受け入れているので、これはリスクの受容(リスク保有)に該当する。
不正解エ
「リスクの低減」は、対策を講じて発生可能性や影響の大きさを小さくすること(例: 防水対策やサーバの上階への設置)。本問は「特に対策は講じない」と決めており、リスクを下げる措置をとっていないので該当しない。
ここがポイント
- リスク対応の4分類 — 回避(原因を断つ)・低減(発生確率や影響を下げる)・移転(保険等で損失負担を第三者へ移す)・受容(対策せず受け入れる)を区別できるようにする。
- 発生可能性が極めて低い等の理由で、リスクを認識したうえであえて追加対策をとらず受け入れる判断が「リスクの受容(リスク保有)」である点が本問の核心。
用語