情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度秋期 午前Ⅱ 問7: 特定の情報資産の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。

正解

ウ. 情報の新たな収集を禁止し，収集済みの情報を消去する。

問題の解説

リスク対応のうちリスク回避は、リスクの原因となる活動・資産そのものをやめて損失の可能性を断つ方法。情報の新規収集を禁止し収集済み情報を消去すれば、漏えいの対象自体が無くなる。よってウが回避に該当する。低減(ア)・移転(イ)・受容(エ)と区別する点が問われる。実務では費用や効果から回避・低減・移転・受容を使い分ける。

選択肢ごとの解説

• ア入退室管理を厳重にするのは発生可能性を下げるリスク低減であり、回避ではない。
• イ外部データセンタへ預託するのは責任や損失を第三者に移すリスク移転に当たる。
• ウ情報収集をやめ既存情報も消去して対象自体を無くす点が、リスク回避の正解。
• エ費用対効果からあえて対策しないのはリスク受容(保有)であり、回避とは異なる。