リスク共有とは何か。回避・低減・保有とどう見分けるか
ITパスポート試験 令和5年度 問72 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティのリスクマネジメントにおけるリスク対応を，リスク回避，リスク共有，リスク低減及びリスク保有の四つに分類したとき，リスク共有の説明として，適切なものはどれか。
- ア
個人情報を取り扱わないなど，リスクを伴う活動自体を停止したり，リスク要因を根本的に排除したりすること
- イ
災害に備えてデータセンターを地理的に離れた複数の場所に分散するなど，リスクの発生確率や損害を減らす対策を講じること
- ウ
保険への加入など，リスクを一定の合意の下に別の組織へ移転又は分散することによって，リスクが顕在化したときの損害を低減すること
- エ
リスクの発生確率やリスクが発生したときの損害が小さいと考えられる場合に，リスクを認識した上で特に対策を講じず，そのリスクを受け入れること
会話形式の解説
講師今回はリスク対応の四つの分類がテーマです。回避・共有・低減・保有のうち、共有がどの説明に当たるかを選びます。それぞれの選択肢に出てくる具体例が、どの行動に当たるかに注目してください。
受験者四つとも「リスク〇〇」という形なので、名前だけだと区別しにくいです。共有というからには、何かを誰かと分け合うのだと思いますが、データセンターを分散する選択肢と保険の選択肢で迷いました。
講師そこが混同しやすいところです。見分けるには、誰が負担しているかを考えます。データセンターを地理的に離れた場所に分散するのは、自社で対策を講じて、災害が起きる確率や損害を小さくするやり方です。これはリスク低減に当たります。
受験者「分散」と書いてあっても、他の組織に負担を移しているわけではないということですね。
講師そのとおりです。一方、保険への加入は、合意の下でリスクを別の組織、つまり保険会社へ移したり分け合ったりする対応です。これがリスク共有の代表例です。
受験者でも、保険に入っても事故そのものは減らないですよね。それでも損害を低減すると言えるのですか。
講師よいところに気づきましたね。保険では発生確率は下がりません。ただ、事故が起きたときの金銭的な負担を、自社と保険会社とで分け合えます。そのため、自社が負う損害が小さくなるのです。発生確率を下げる低減とは、ここが違います。
受験者残りの二つも確認させてください。個人情報を扱わないようにする選択肢は、活動そのものをやめているのでリスク回避だと考えました。
講師その分類で合っています。リスクを伴う活動を止めたり、リスク要因を根本から取り除いたりするのが回避です。ただし、この問題で問われているのは共有なので、この選択肢は選べません。
受験者最後の、発生確率や損害が小さいので特に対策をとらずに受け入れるという選択肢は、リスク保有ですね。
講師はい。リスクがあることを認識したうえで、あえて対策をとらずに受け入れるのが保有です。損害が小さい場合のほか、対策にかかる費用が想定される損害を上回る場合にも選ばれます。
受験者まとめると、やめるなら回避、自社で対策して減らすなら低減、保険などで他の組織と負担を分けるなら共有、何もせずに受け入れるなら保有ですね。正解は保険の選択肢だとわかりました。
講師よく整理できています。補足すると、「分散」のような言葉だけで判断せず、他の組織と負担を分けているのかを確かめる習慣をつけておくと安心です。また、共有に近い考え方は「リスク移転」と呼ばれることもあるので、その言葉が出てきても同じ考え方だと気づけるようにしておきましょう。
まとめ
リスク対応は、回避・低減・共有・保有の四つに分けられます。リスクを伴う活動をやめるのが回避、自社で対策を講じて発生確率や損害を小さくするのが低減、保険などで損害の負担を他の組織と分け合うのが共有、対策をとらずに受け入れるのが保有です。この問題では、保険への加入を例に挙げ、別の組織へリスクを移転又は分散すると説明している選択肢が共有に当たります。データセンターの分散は「分散」という言葉を含みますが、自社の対策で発生確率や損害を減らすものなので低減です。保険は発生確率そのものを下げないため、低減と混同しないよう注意しましょう。
解答・解説
正解はウです
この問題のテーマ
情報セキュリティのリスク対応を「回避・共有・低減・保有」の四つに分けたとき、リスク共有がどれに当たるかを問う問題です。
解き方の考え方
四つのリスク対応には、それぞれ特徴となる行動があります。活動自体をやめるなら回避、対策を講じて発生確率や損害を小さくするなら低減、他の組織と損害の負担を分け合うなら共有、何もせずに受け入れるなら保有です。各選択肢の具体例がどの行動に当たるかを見て分類すると、「保険への加入」「別の組織へ移転又は分散」とあるウが共有だとわかります。
選択肢ごとの解説
- ×ア 個人情報を取り扱わないなど，リスクを伴う活動自体を停止したり，リスク要因を根本的に排除したりすることアは、個人情報を扱わないなど、リスクを伴う活動そのものをやめる対応を説明しています。リスク要因を根本から取り除く対応は、リスク回避に当たります。他の組織と負担を分けるわけではないので、共有の説明ではありません。
- ×イ 災害に備えてデータセンターを地理的に離れた複数の場所に分散するなど，リスクの発生確率や損害を減らす対策を講じることイのデータセンターを地理的に分散する対策は、自社で手を打って発生確率や損害を小さくするものなので、リスク低減に当たります。「分散」という言葉が入っていますが、他の組織へ損害の負担を移しているわけではありません。
- ○ウ 保険への加入など，リスクを一定の合意の下に別の組織へ移転又は分散することによって，リスクが顕在化したときの損害を低減することウの保険への加入は、合意の下でリスクを別の組織へ移転・分散する対応で、リスク共有の代表例です。保険に入っても事故の発生確率は下がりません。しかし、事故が起きたときの金銭的な負担を、自社と保険会社とで分け合えます。
- ×エ リスクの発生確率やリスクが発生したときの損害が小さいと考えられる場合に，リスクを認識した上で特に対策を講じず，そのリスクを受け入れることエは、リスクがあることをわかったうえで特に対策をとらず、そのまま受け入れる対応で、リスク保有に当たります。保有は、発生確率や損害が小さい場合や、対策にかかる費用が想定される損害を上回る場合に選ばれます。
補足
「分散」という言葉だけで判断すると、イを選んでしまうおそれがあります。他の組織と負担を分けているのか、自社の対策で発生確率や損害を減らしているのかを確認しましょう。また、保険はリスクの発生確率そのものを下げるわけではないので、低減と混同しないよう注意してください。古い教材では、リスク共有に近い考え方を「リスク移転」と呼んでいることもあります。
POINT
- リスク回避は、リスクを伴う活動をやめたり、リスク要因を取り除いたりする対応です。
- リスク低減は、対策を講じてリスクの発生確率や損害を小さくする対応です。
- リスク共有は、保険への加入などで損害の負担を他の組織へ移したり分け合ったりする対応です。
- リスク保有は、リスクがあることを認識したうえで対策をとらず、受け入れる対応です。