令和3年度 ITパスポート試験 公開問題 問99
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
情報セキュリティのリスクマネジメントにおいて，リスク移転，リスク回避，リスク低減，リスク保有などが分類に用いられることがある。これらに関する記述として，適切なものはどれか。
解答・解説
正解: ア. リスク対応において，リスクへの対応策を分類したものであり，リスクの顕在化に備えて保険を掛けることは，リスク移転に分類される。
情報セキュリティのリスクマネジメントにおいて、特定・分析・評価されたリスクに対してどのような対策をとるかを決定するプロセスをリスク対応と呼びます。
リスクへの対応策は、主に以下の4つに分類されます。
- リスク回避: リスクの原因となる活動そのものをやめること。（例：インターネットへの接続を遮断する）
- リスク低減: リスクの発生確率や影響度を下げる対策を行うこと。（例：マルウェア対策ソフトを導入する）
- リスク移転: リスクの財務的な影響を第三者に移すこと。（例：サイバー保険に加入する）
- リスク保有: リスクの大きさが受容可能なレベルであると判断し、特に対策を行わずにそのままにすること。
したがって、リスクの顕在化に備えて保険を掛けることはリスク移転に分類され、リスク対応における対応策の分類として正しく説明している選択肢「ア」が適切です。
各選択肢の解説
- ア: 正解。リスク対応における対応策の分類であり、保険を掛けることはリスク移転に分類されます。
- イ: 誤り。マルウェア対策ソフトの導入はリスク低減に該当しますが、「リスク特定において保有資産の使用目的を分類したもの」という説明が誤りです。正しくはリスク対応における分類です。
- ウ: 誤り。「リスク評価においてリスクの評価方法を分類したもの」という説明が誤りです。リスク評価は、算定されたリスクの大きさが受容可能かどうかを判定するプロセスです。
- エ: 誤り。「リスク分析においてリスクの分析手法を分類したもの」という説明が誤りです。脆弱性を客観的な数値で表す手法はリスク分析に関連しますが、リスク保有とは関係ありません。