情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成29年度春期 午前Ⅱ 問9: 個人情報の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。

正解

エ. 収集済みの個人情報を消去し，新たな収集を禁止する。

問題の解説

リスク回避は、リスクの原因となる活動そのものをやめてリスクを消し去る対応。個人情報を消去し新規収集も禁止すれば漏えいリスクの源泉が無くなるため、エが回避に該当する。アはリスク保有(受容)、イは入退室管理によるリスク低減、ウは外部委託によるリスク移転にあたる。実務では回避は事業上の必要性と両立しにくく、慎重な判断が要る。

選択肢ごとの解説

• ア費用対効果から対策をとらないのはリスク保有(受容)であり、回避ではない。
• イ入退室管理を強化して発生可能性を下げるのはリスク低減(軽減)である。
• ウ外部データセンタへ預けるのはリスク移転(共有)に該当し、回避ではない。
• エ個人情報を消去し新たな収集も禁止してリスク源そのものを無くす対応がリスク回避で、正解。