本ユニットでは、リスクアセスメントで評価し終えたリスクに対して「どう対処するか」を決めるリスク対応と、その具体的な選択肢(回避・保有・移転・共有・分散など)を学びます。情報セキュリティ管理の中でも頻出分野で、各選択肢の違いと典型例を区別できることが得点の鍵になります。
評価したリスクに対し、どう対処するかの方針を決めて実施すること。
リスク対応は、リスクアセスメント(分析・評価)の結果を受けて、それぞれのリスクをどう扱うかを決める活動です。具体的な選択肢として、本ユニットで学ぶリスク回避・保有・移転・共有・分散に加え、リスクの発生確率や影響度を下げる『低減(軽減)』があり、これらから組み合わせて選びます(回避はリスク源を断つ、低減はリスクを残しつつ影響を小さくする点が異なります)。 リスクを「見つけて評価する」段階(アセスメント)の次に来る「対処を決める」段階だという順序が重要です。試験では、リスクマネジメント全体の流れ(特定→分析→評価→対応)の中での位置づけや、対応にどんな選択肢があるかが問われます。各選択肢を束ねる上位の考え方だと押さえましょう。
たとえ健康診断で異常が見つかった後に「手術する・保険に入る・経過観察する」のどれを選ぶか方針を決める段階にあたります。
記憶フックリスク対応といえば回避・低減・保有・移転・共有・分散などから対処を選ぶこと
リスクの原因となる活動自体をやめ、リスクを生じさせないこと。
リスク回避は、リスクが発生する原因そのものを取り除く対応です。例えば「危険な業務やサービスを中止する」「個人情報を扱う処理自体をやめる」など、活動を行わないことでリスクをゼロにします。 他の選択肢が「リスクを残したまま備える」のに対し、回避はリスク源を断つ点が大きな違いです。ただし事業機会も失うため、影響が大きすぎて受け入れられない場合に選ばれます。試験では、リスクを低く抑える「低減」や、誰かに肩代わりさせる「移転」と取り違えないことがポイントです。
たとえ事故が怖いので、そもそも車を持たず運転しないと決めるようなもの。原因となる行為自体をやめてしまいます。
記憶フックリスク回避といえば原因となる活動自体をやめること
リスクを許容範囲と判断し、特別な対策をせず受け入れること。
リスク保有(受容)は、リスクの影響が小さい、または対策費用が損害より高くつくなどの理由で、あえて対策をとらずにそのリスクを受け入れる対応です。リスク受容とも呼ばれます。 「何もしない」のではなく、評価したうえで「許容できる」と判断して受け入れる点が重要です。回避が活動をやめてリスクをなくすのに対し、保有はリスクを残したまま受け入れます。試験では、影響度・発生確率が低いリスクや、対策コストが見合わないリスクに対して選ばれる対応として問われます。
たとえ雨に少し濡れる程度なら、傘を買うより我慢したほうが得と考え、対策せずそのまま受け入れるようなものです。
記憶フックリスク保有といえば許容範囲としてそのまま受け入れること
保険や外部委託などでリスクの負担を第三者へ移すこと。
リスク移転は、リスクによる損害の負担を自社以外の第三者に移す対応です。代表例は保険への加入で、損害が発生したときの金銭的負担を保険会社に肩代わりしてもらいます。業務のアウトソーシング(外部委託)もこれに含まれます。 リスクそのものをなくす回避とは異なり、リスクは残るが負担を他者に移す点が特徴です。試験では「保険=リスク移転」が典型として頻出します。次に学ぶリスク共有(分担)の一形態と位置づけられることも押さえておきましょう。
たとえ火事が起きても自分で全額負担しなくて済むよう、火災保険に入って損害を保険会社に肩代わりしてもらうようなものです。
記憶フックリスク移転といえば保険などで負担を第三者へ移すこと
リスクの負担を他者と分担すること。移転と近い考え方。
リスク共有は、リスクによる損害や負担を自社だけで抱えず、保険会社や提携先などの他者と分かち合う対応です。保険の活用や、複数社による共同事業などがこれにあたります。 リスクを他者へ渡す移転と近い系統の対応で、共有は「分担して一緒に負う」というニュアンスを持ちます。試験では、移転と共有がほぼ同じ系統の対応(リスクを他者と分け合う)として扱われる点や、保有・回避との違いを区別できることが問われます。
たとえ高価な機材を一社で買わず、複数の仲間で共同購入して費用も故障時の負担も分け合うようなものです。
記憶フックリスク共有といえば負担を他者と分担する考え方
拠点やデータを複数に分け、被害が一か所に集中するのを防ぐこと。
リスク分散は、システムや資産を一か所に集中させず複数に分けることで、損害が一度にすべて及ぶのを避ける対応です。例えばデータを遠隔地にも保管する、サーバや拠点を分散配置するなどがあたります。 一極集中だと災害や障害で全滅する恐れがあるため、「卵を一つのかごに盛らない」考え方で被害を抑えます。試験では、リスクを完全になくすのではなく影響範囲を小さくする対応として、回避・移転などと区別して理解しておくとよいでしょう。
たとえ大切な貯金を一つの銀行にまとめず複数に分けて預け、一行が破綻しても全額は失わないようにするのと同じ発想です。
記憶フックリスク分散といえば複数に分けて被害集中を防ぐこと
関連の過去問演習は今後のアップデートで追加予定です。