問89
頻出度★★★
A社では，自社の情報資産に関するリスク分析を実施した結果，近くの川が氾濫することで会社の1階にあるサーバルームが浸水するおそれがあることが分かった。サーバルームの移転も検討したが，川は100年前に1度氾濫したきりで，その可能性はほとんどないと判断し，特に対策は講じないことを経営層が決定した。A社が選択した情報セキュリティのリスク対応はどれか。
平成28年度 秋期 ITパスポート試験 問89
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 89
错误ア
「风险转移」是指通过投保、把业务外包给外部等方式，将风险所造成的损失负担转移给第三方。本题中并没有采取投保等把损失转移给他人的做法，只是决定不采取措施而已，因此不符合。
错误イ
「风险规避」是指停止或远离成为风险根源的活动本身，从而彻底消除风险本身。搬迁服务器机房就属于规避这类方案，但本题虽然考虑过搬迁，最终却没有实施而是予以否决，因此并不是所选择的应对方式。
- ウ
正解 正确答案是「ウ 风险接受」。风险接受是指：在评估某个风险的发生可能性和影响大小之后，权衡应对措施的成本与残余风险，特意不采取额外措施而接受该风险的应对方式。本题中，A公司分析了河流泛滥导致服务器机房被淹的风险，虽然也考虑过搬迁这一措施，但经营层判断该河流仅在100年前泛滥过一次、发生可能性几乎为零，于是「决定不采取任何特别的应对措施」。在认识到风险存在的前提下不采取措施而予以接受，因此这属于风险接受（风险保留）。
错误エ
「风险降低」是指采取措施来减小风险的发生可能性或影响大小（例如做防水处理、把服务器安置到更高楼层）。本题决定「不采取任何特别的应对措施」，并没有采取降低风险的措施，因此不符合。
ここがポイント
- 风险应对的四种分类——规避（切断根源）、降低（降低发生概率或影响）、转移（通过保险等把损失负担转移给第三方）、接受（不采取措施而予以接受），要能够加以区分。
- 本题的核心在于：出于发生可能性极低等理由，在认识到风险的前提下特意不采取额外措施而予以接受的判断，就是「风险接受（风险保留）」。
用語