リスク対応の四分類、クリアデスクはどれに当たる？
ITパスポート試験 令和2年度10月 問68 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
リスク対応を，移転，回避，低減及び保有に分類するとき，次の対応はどれに分類されるか。 〔対応〕 職場における机上の書類からの情報漏えい対策として，退社時のクリアデスクを導入した。
- ア
移転
- イ
回避
- ウ
低減
- エ
保有
会話形式の解説
講師リスク対応を分類するときは、その対策によって何が変わるかに注目します。
受験者書類を片付けるので、情報漏えいの原因をなくす「回避」でしょうか。
講師回避は、リスクの原因となる活動をやめることです。クリアデスクを導入しても、書類を扱う業務は続きます。
受験者業務は続けながら、書類から情報が漏れる可能性を下げるのですね。
講師そのとおりです。発生可能性などを下げる対応が「低減」なので、この問題の正解は低減です。
受験者「移転」は、書類を片付けることとはどう違いますか。
講師移転は、リスクによる損失などを第三者に移す対応です。クリアデスクでは第三者に移していません。
受験者対策後も情報漏えいのリスクは残るので、「保有」とも考えられませんか。
講師保有は、追加の対策をせずにリスクを受け入れることです。クリアデスクは新たな対策なので、リスクが残っても保有には当たりません。
受験者リスクが残るかだけでなく、対策によって発生可能性が下がるかを見るのですね。
講師はい。原因となる活動をやめるなら回避、損失などを第三者に移すなら移転、追加の対策をしないなら保有、と区別しましょう。
まとめ
クリアデスクは、机上の書類から情報が漏れる可能性を下げるため、リスクの低減に当たります。書類を扱う業務は続くので、回避ではありません。損失などを第三者に移す移転でも、追加の対策をしない保有でもありません。対策後にリスクが残ることだけを理由に、保有と判断しないようにしましょう。
解答・解説
正解はウです
この問題のテーマ
クリアデスクの導入が、リスク対応の「移転・回避・低減・保有」のどれに当たるかを問う問題です。
解き方の考え方
対策によって何が変わるかに着目します。退社時に机上の書類を片付けると、書類から情報が漏れる可能性が下がります。書類を扱う業務をやめるわけではないため、発生可能性を下げる「低減」と判断します。
選択肢ごとの解説
- ×ア 移転移転は、リスクによる損失などを第三者に移す対応です。クリアデスクでは書類を片付けますが、リスクを第三者に移してはいません。
- ×イ 回避回避は、リスクの原因となる活動をやめる対応です。クリアデスクを導入しても書類を扱う業務は続き、情報漏えいのリスクも残ります。
- ○ウ 低減低減は、リスクの発生可能性などを下げる対応です。退社時に机上の書類を片付けることで、書類から情報が漏れる可能性を下げられるため、この対応に当たります。
- ×エ 保有保有は、追加の対策をせずにリスクを受け入れる対応です。クリアデスクの導入は情報漏えいを防ぐための対策なので、保有には当たりません。
補足
対策後もリスクが残るからといって、保有になるわけではありません。新たな対策によって発生可能性を下げているかを確認しましょう。
POINT
- 低減は、リスクの発生可能性などを下げる対応です。
- 回避は原因となる活動をやめ、移転は損失などを第三者に移します。
- 保有は追加の対策をせずにリスクを受け入れます。