問76
頻出度★★★
情報セキュリティのリスクマネジメントにおけるリスク対応を, リスク回避, リスク共有, リスク低減及びリスク保有の四つに分類するとき, 情報漏えい発生時の損害に備えてサイバー保険に入ることはどれに分類されるか。
令和4年度 ITパスポート試験 問76
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 76
不正解ア
リスク回避は、リスクの原因となる活動そのものを中止・撤退してリスクを消し去る対応です。保険加入は情報を扱う活動を続けたまま損害に備えるものであり、活動を止めていないので回避には当たりません。
- イ
正解 リスク共有（リスク移転）とは、保険や外部委託などによって、リスクが顕在化したときの損失を第三者に肩代わりしてもらう対応策です。情報漏えい発生時の損害に備えてサイバー保険に入る行為は、損害額を保険会社に転嫁して分担してもらうものなので「リスク共有」に分類されます。したがって正解はイです。
不正解ウ
リスク低減は、対策を講じてリスクの発生確率や影響度を小さくする対応です（例：暗号化やアクセス制御の導入）。サイバー保険は漏えいそのものの起こりやすさや被害の大きさを減らすわけではなく、起きた後の損失を金銭で補うだけなので低減ではありません。
不正解エ
リスク保有（リスク受容）は、対策を取らずにリスクをそのまま受け入れ、損失が出たら自社で負担する対応です。保険加入は損失を保険会社に肩代わりさせる点で自社負担とは異なるため、保有には分類されません。
ここがポイント
- リスク対応の四分類：リスク回避（活動中止で消す）／リスク共有・移転（保険・委託で第三者に分担）／リスク低減（対策で確率・影響を下げる）／リスク保有（対策せず受け入れ自社負担）。
- 保険加入はリスク共有（移転）の代表例。損失を第三者に転嫁する仕組みかどうかで判断する。
用語