問64
頻出度★★★
情報セキュリティのリスクマネジメントにおけるリスクへの対応を, リスク共有, リスク回避, リスク保有及びリスク低減の四つに分類するとき, リスク共有の例として, 適切なものはどれか。
令和6年度 ITパスポート試験 問64
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 64
不正解ア
遠隔地にバックアップセンターを設置するのは、災害が起きてもシステム停止時間を短く抑え、被害の大きさを小さくする対応であり、リスク低減（被害の影響度を下げる）に当たる。リスクそのものを第三者へ移すわけではないので、リスク共有ではない。
- イ
正解 リスク共有（リスク移転）とは、保険加入や外部委託などにより、損失や責任の一部または全部を第三者に移し、自社だけでリスクを抱え込まない対応をいう。選択肢イは、情報漏えいで生じる損害賠償や事故処理費用という金銭的損失を、サイバー保険に加入することで保険会社に肩代わりしてもらう仕組みである。発生した損失を第三者と分担・移転している点で、まさにリスク共有の典型例であり、これが正解となる。
不正解ウ
添付ファイル付き電子メールの送信に上司の許可を必須とする仕組みは、情報漏えいの発生可能性（起こりやすさ）を下げる管理策であり、リスク低減に当たる。損失を第三者と分担しているわけではないため、リスク共有ではない。
不正解エ
ノートPCのHDDを暗号化するのは、紛失・盗難が起きても中身を読み取れなくして情報漏えいの被害を防ぐ対応であり、リスク低減に当たる。リスクを保険会社などの第三者へ移すものではないため、リスク共有ではない。
ここがポイント
- リスク対応の四分類: リスク回避（リスク要因をなくす）／リスク低減（発生可能性や影響度を下げる）／リスク保有（許容して受け入れる）／リスク共有・移転（保険や外部委託で第三者と分担・移転）。
- 「保険加入」はリスク共有（リスク移転）の代表例。技術的・物理的な防止策（暗号化・バックアップ・承認フロー）はリスク低減に分類される点を区別する。
用語