リスク対応の低減は何を小さくする対策か
ITパスポート試験 令和元年度秋期 問86 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティのリスクマネジメントにおけるリスク対応を，リスクの移転，回避，受容及び低減の四つに分類するとき，リスクの低減の例として，適切なものはどれか。
- ア
インターネット上で，特定利用者に対して，機密に属する情報の提供サービスを行っていたが，情報漏えいのリスクを考慮して，そのサービスから撤退する。
- イ
個人情報が漏えいした場合に備えて，保険に加入する。
- ウ
サーバ室には限られた管理者しか入室できず，機器盗難のリスクは低いので，追加の対策は行わない。
- エ
ノートPCの紛失，盗難による情報漏えいに備えて，ノートPCのHDDに保存する情報を暗号化する。
会話形式の解説
講師この問題は、対策がリスクをどう扱うかに注目すると整理できます。低減は、発生可能性や被害を小さくする対応です。
受験者保険も漏えいに備えるので、低減のように感じます。
講師保険は、漏えいした場合の損失の負担を他者に移します。これは移転です。
受験者では、サービスから撤退するのは、漏えいの心配を減らすから低減ですか。
講師その場合は、リスクの原因となる活動自体をやめています。分類は回避です。
受験者サーバ室で追加対策をしない例は、リスクが低いと判断している点が気になります。
講師低いと判断したうえで、残るリスクをそのまま引き受けています。これは受容です。
受験者ノートPCの保存情報を暗号化する例は、紛失や盗難が起きた場合に備えているのですね。
講師はい。暗号化すると保存情報を読み取られにくくでき、情報漏えいによる被害を小さくできます。これが低減に当たります。
受験者保険は損失の負担先を変え、暗号化は被害を小さくする。どちらも備えですが、働き方が違うのですね。
講師そのとおりです。活動をやめる回避、負担を移す移転、残るリスクを引き受ける受容とも区別して判断しましょう。
まとめ
リスクの低減は、対策によって発生可能性や被害を小さくすることです。ノートPCの保存情報を暗号化すると、紛失・盗難時に情報を読み取られにくくできるため、低減に当たります。サービスからの撤退は回避、保険への加入は移転、追加対策をしない判断は受容です。
解答・解説
正解はエです
この問題のテーマ
情報セキュリティのリスク対応を、移転・回避・受容・低減に分類できるかを問う問題です。
解き方の考え方
まず、それぞれの対応がリスクをどう扱うかを見ます。活動をやめれば回避、損失の負担を他者に移せば移転、追加対策をしなければ受容です。対策によって被害や発生可能性を小さくするものが低減に当たります。
選択肢ごとの解説
- ×ア インターネット上で，特定利用者に対して，機密に属する情報の提供サービスを行っていたが，情報漏えいのリスクを考慮して，そのサービスから撤退する。機密情報の提供サービスから撤退すると、その活動に伴う情報漏えいのリスクを避けられます。これはリスクの回避であり、サービスを続けながらリスクを小さくする低減ではありません。
- ×イ 個人情報が漏えいした場合に備えて，保険に加入する。個人情報の漏えいに備えて保険に加入するのは、損失の負担を他者に移す対応です。リスクの分類では移転に当たるため、低減の例ではありません。
- ×ウ サーバ室には限られた管理者しか入室できず，機器盗難のリスクは低いので，追加の対策は行わない。機器盗難のリスクは低いと判断し、追加対策を行いません。残るリスクをそのまま引き受ける受容に当たります。
- ○エ ノートPCの紛失，盗難による情報漏えいに備えて，ノートPCのHDDに保存する情報を暗号化する。ノートPCのHDDに保存する情報を暗号化すると、紛失・盗難時に情報を読み取られにくくできます。情報漏えいによる被害を小さくする対策なので、リスクの低減に当たります。
補足
保険と暗号化はどちらも漏えいに備える対応ですが、働き方が異なります。保険は損失の負担先を変え、暗号化は情報を読み取られにくくします。
POINT
- 低減は、対策によってリスクの発生可能性や被害を小さくします。
- 回避は、リスクの原因となる活動をやめることです。
- 移転は損失の負担を他者に移し、受容は追加対策をせずにリスクを引き受けます。
- 保存情報の暗号化は、紛失・盗難に備える低減策です。