問99
頻出度★★★
情報セキュリティのリスクマネジメントにおいて, リスク移転, リスク回避, リスク低減, リスク保有などが分類に用いられることがある。これらに関する記述として, 適切なものはどれか。
令和3年度 ITパスポート試験 問99
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 99
- ア
正解 リスク移転・リスク回避・リスク低減・リスク保有は、リスクマネジメントのうち「リスク対応」の段階で、洗い出したリスクへの対応策を分類したものである。アはこの位置づけを正しく述べたうえで、リスクの顕在化（損害の発生）に備えて保険を掛ける行為をリスク移転としている。保険付保はリスクによる損失負担を保険会社という第三者へ移す典型例なので、リスク移転の分類として適切。よってアが正しい。
不正解イ
枠組みが誤り。4語は「リスク特定」ではなく「リスク対応」における対応策の分類であり、保有資産の使用目的を分類したものでもない。マルウェア対策ソフト導入はリスクを下げる措置なのでリスク低減に当たること自体は正しいが、前提の位置づけが誤っているため不適切。
不正解ウ
枠組みが誤り。4語は「リスク評価」で評価方法を分類したものではなく、「リスク対応」で対応策を分類したものである。リスク回避は、リスク要因そのものをやめる・排除する対応策を指し、「回避できるかで評価する方法」という説明も本質を外している。
不正解エ
枠組みが誤り。4語は「リスク分析」の分析手法の分類ではなく、「リスク対応」の対応策の分類である。また脆弱性を客観的な数値で表す手法は定量的なリスク分析の手法であって、リスクを受容・保有するリスク保有とは無関係。二重に誤り。
ここがポイント
- リスク対応の4分類: リスク移転（第三者へ移す・保険）／リスク回避（要因を排除・活動中止）／リスク低減（対策で発生確率・影響を下げる）／リスク保有（受容してそのまま持つ）。
- これらは分析・評価の後の「リスク対応（トリートメント）」段階の分類であり、リスク特定やリスク分析の段階の分類ではない点を押さえる。
用語