問86
頻出度★★★
情報セキュリティのリスクマネジメントにおけるリスク対応を, リスクの移転, 回避, 受容及び低減の四つに分類するとき, リスクの低減の例として, 適切なものはどれか。
令和元年度 秋期 ITパスポート試験 問86
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 86
不正解ア
機密情報の提供サービスから撤退し、リスクの原因となる活動自体をやめている。これはリスクの「回避」の例であり、低減ではない。
不正解イ
漏えいに備えて保険に加入し、損失を第三者 (保険会社) に肩代わりさせている。これはリスクの「移転」の例であり、低減ではない。
不正解ウ
盗難リスクが低いと判断し、あえて追加対策をとらずリスクをそのまま抱えている。これはリスクの「受容 (保有)」の例であり、低減ではない。
- エ
正解 エが正解。リスクの「低減」とは、その活動自体は続けながら、安全対策を講じてリスクの発生確率や被害の大きさを小さくすることをいう。ノート PC の HDD を暗号化しておけば、紛失・盗難が起きても中の情報を読み取られにくくなり、情報漏えいという被害を小さく抑えられる。ノート PC の利用そのものはやめず、対策で危険度を下げているので、まさに低減の例である。
ここがポイント
- リスク対応の四分類 — 回避 (原因となる活動をやめる)、移転 (保険等で第三者に転嫁)、受容/保有 (対策せずそのまま受け入れる)、低減 (対策で発生確率・影響を小さくする)。
- 低減の見分け方 — 業務・活動は続けたまま、暗号化・アクセス制御などの安全対策でリスクの大きさを引き下げているかどうか。
用語