問68
頻出度★★★
リスク対応を, 移転, 回避, 低減及び保有に分類するとき, 次の対応はどれに分類されるか。 〔対応〕 職場における机上の書類からの情報漏えい対策として, 退社時のクリアデスクを導入した。
令和2年度 ITパスポート試験 問68
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 68
不正解ア
移転は、保険加入やアウトソーシングのようにリスクによる損失や対応責任を第三者へ移す対応。クリアデスクは自組織内の運用で漏えい可能性を下げるだけで、リスクを外部へ移していないため誤り。
不正解イ
回避は、リスクの原因となる活動そのものを取りやめてリスクを根本から断つ対応（例: 机上に紙書類を一切置かない・紙運用を廃止する）。クリアデスクは書類業務を続けたまま管理策で可能性を下げるので、回避ではなく誤り。
- ウ
正解 クリアデスク（退社時に机上の書類を片付ける運用）は、机上放置の書類が第三者に見られる・持ち去られる可能性を小さくする管理策である。リスクの発生可能性や影響度を下げてリスクを許容範囲内に収める対応は「低減」に当たるため、正解はウ。書類業務そのものを廃止するわけではないので回避ではなく、あくまで既存のリスクを小さくする点がポイント。
不正解エ
保有（受容）は、リスクが小さいなどの理由で特段の対策を取らずそのまま受け入れる対応。クリアデスクという能動的な対策を実施している以上、無対策の保有には当たらないため誤り。
ここがポイント
- リスク対応の4分類: 移転（第三者へ転嫁）・回避（リスク源を断つ）・低減（発生可能性や影響を小さくする）・保有（対策せず受容）。
- クリアデスクは管理策でリスクの発生可能性を下げる典型例なので「低減」に分類される。
用語