令和4年度 ITパスポート試験 公開問題 問76
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
情報セキュリティのリスクマネジメントにおけるリスク対応を，リスク回避，リスク共有，リスク低減及びリスク保有の四つに分類するとき，情報漏えい発生時の損害に備えてサイバー保険に入ることはどれに分類されるか。
解答・解説
正解: イ. リスク共有
正解の根拠
情報セキュリティのリスクマネジメントにおけるリスク対応は、主に以下の4つに分類されます。
- リスク回避: リスクの原因となる活動自体をやめること。
- リスク共有（移転）: リスクの財務的影響を第三者と分かち合うこと（保険への加入など）。
- リスク低減: リスクの発生確率や影響度を小さくする対策を講じること。
- リスク保有: リスクの大きさが許容範囲内であると判断し、特に対策を行わずに受け入れること。
「情報漏えい発生時の損害に備えてサイバー保険に入る」という対応は、損害発生時の財務的負担を保険会社に転嫁し、分かち合うアプローチであるため、リスク共有に分類されます。
各選択肢の解説
- ア リスク回避: 誤り。リスク回避は、情報漏えいのリスクを根本からなくすために、そのシステムや事業自体を停止・破棄するような対応を指します。
- イ リスク共有: 正解。保険への加入によって財務的なリスクを他者と分担しているため、リスク共有に該当します。
- ウ リスク低減: 誤り。リスク低減は、情報漏えいを防ぐためにシステムのセキュリティを強化するなど、発生確率や影響を小さくする対策を指します。
- エ リスク保有: 誤り。リスク保有は、対策のコストがリスクの想定被害を上回る場合などに、あえて何も対策をせずに現状を受け入れることを指します。