問題本文
セキュリティリスクへの対応には,リスク移転,リスク回避,リスク受容及びリスク低減がある。リスク低減に該当する事例はどれか。
選択肢
- ア.セキュリティ対策を行って,問題発生の可能性を下げた。
- イ.問題発生時の損害に備えて,保険に入った。
- ウ.リスクが小さいことを確認し,問題発生時は損害を負担することにした。
- エ.リスクの大きいサービスから撤退した。
正解
ア. セキュリティ対策を行って,問題発生の可能性を下げた。
解説
セキュリティリスクへの対応は,回避・低減(軽減)・移転(転嫁)・受容の4分類に整理される. 回避はリスクの原因となる活動自体をやめて発生確率をゼロにする対応(リスクの大きいサービスからの撤退など),低減はセキュリティ対策の実施などにより発生確率や影響度を下げる対応,移転は保険加入や契約による損害負担の他者への移転,受容はリスクが小さいと判断し対策せず損害を自社で負担する対応に対応する. 本問の「セキュリティ対策を行って問題発生の可能性を下げる」のは,対策により発生確率を低くするリスク低減そのものに該当する典型例で,リスク対応の4分類の中で最も基本的な事例といえる対応である.
選択肢ごとの解説
- ア.正しい. セキュリティ対策を行って問題発生の可能性を下げるのは,リスクの発生確率や影響度を低くするリスク低減(軽減)そのものに該当するため. リスク対応4分類の中で低減の最も基本的な事例で,ウイルス対策ソフト導入・アクセス制御強化・暗号化など具体策で発生確率を下げる典型的な対応となる.
- イ.誤り. 問題発生時の損害に備えて保険に入るのは,損害発生時の経済的負担を保険会社に移すリスク移転(転嫁)に該当する対応である. 自社のリスクを他者へ移して経済的損害を肩代わりさせる典型例で,本問の答えである低減とは別の分類に対応する対応方式となる用例である.
- ウ.誤り. リスクが小さいことを確認し問題発生時には損害を自社で負担することにするのは,リスクを受け入れて発生時に対応するリスク受容に該当する対応である. 対策コストを掛けずに受け入れる経営判断で,事前対策を講じる低減とは異なる対応分類に位置付けられる.
- エ.誤り. リスクの大きいサービスから撤退するのは,リスクの原因となる活動自体をやめてリスク発生をゼロにするリスク回避に該当する対応である. 発生確率自体をゼロにする抜本的な対応で,発生確率を下げる(完全にはゼロにしない)リスク低減とは性質が異なる対応分類である.
ITパスポート 2016年 (平成28年 秋期) の過去問一覧へ戻る・問62