情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度春期 午前 問2: リスク対応のうち，リスクの回避に該当するものはどれか。

正解

ウ. リスクレベルが大きいと評価した情報システムを用いるサービスの提供をやめる。

正答率 62.8%（94人中 59人が正解）

問題の解説

リスク対応は，回避・低減（軽減）・移転（共有）・保有（受容）の4つに大別される。リスクの回避とは，リスクを生じさせる活動そのものを取りやめてリスク源を除去することである。リスクレベルが大きいサービスの提供自体をやめる選択肢ウが，活動を中止する回避に該当する。

選択肢ごとの解説

• アハードウェアを冗長化して顕在化の可能性を下げるのはリスク低減（軽減）であり，回避ではない。
• イ保険を掛けて損失を他者に移すのはリスク移転（共有）であり，回避ではない。
• ウリスクレベルの大きいサービスの提供をやめ，リスクを生む活動自体を取りやめているのでリスクの回避に該当する。
• エリスクが小さいため特別な対応をとらないと意思決定するのはリスク保有（受容）であり，回避ではない。