リスク共有の具体例はどれか、低減との違いで見分ける
ITパスポート試験 令和6年度 問64 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティのリスクマネジメントにおけるリスクへの対応を，リスク共有，リスク回避，リスク保有及びリスク低減の四つに分類するとき，リスク共有の例として，適切なものはどれか。
- ア
災害によるシステムの停止時間を短くするために，遠隔地にバックアップセンターを設置する。
- イ
情報漏えいによって発生する損害賠償や事故処理の損失補填のために，サイバー保険に加入する。
- ウ
電子メールによる機密ファイルの流出を防ぐために，ファイルを添付した電子メールの送信には上司の許可を必要とする仕組みにする。
- エ
ノートPCの紛失や盗難による情報漏えいを防ぐために，HDDを暗号化する。
会話形式の解説
講師今回はリスク対応の四つの分類、つまり共有・回避・保有・低減のうち、リスク共有にあたる具体例を選ぶ問題です。対策が「リスクそのものを小さくするもの」か、「損失の負担を他者と分け合うもの」かに注目してください。
受験者四つの名前は覚えたのですが、どれも似た言葉に見えて混乱します。共有というと、社内で情報を共有することかと思ってしまいました。
講師そこは引っかかりやすいところです。ここでいうリスク共有は、保険や契約によって、起きたときの損失を他者にも負担してもらう対応のことです。リスク移転と呼ばれることもあります。
受験者それなら、サイバー保険に加入する対策が当てはまりそうです。損害賠償や事故処理の費用を保険会社にも負担してもらえるからです。
講師そのとおりです。保険は事故そのものを防ぐものではありません。起きた後の経済的な損失の一部を保険会社が引き受けるので、自社の負担が下がります。これがリスク共有の代表例で、正解です。
受験者遠隔地にバックアップセンターを置く対策も迷いました。災害に備えるという意味では、保険と似ている気がします。
講師どちらも「備える」対策なので混同しやすいですね。ただ、バックアップセンターは災害が起きてもシステムの停止時間を短くして、被害の大きさを自社の手で抑えるものです。影響度を下げているので、リスク低減にあたります。損失の負担を外部に移しているわけではありません。
受験者添付ファイル付きのメールに上司の許可を必要とする仕組みは、流出が起きにくくなるので、発生確率を下げる低減だと考えました。
講師正しい判断です。HDDの暗号化も同じ考え方で、ノートPCを紛失したり盗まれたりしても中身を読まれにくくします。情報漏えいの確率や影響を下げるので、こちらもリスク低減です。
受験者つまり、自社の手で確率や被害を小さくするなら低減で、損失の負担そのものを他者と分け合うなら共有、という区別ですね。
講師はい。残りの二つも整理しておきましょう。リスク回避はリスクの原因そのものを取り除く対応で、リスク保有はリスクを認識したうえで受け入れる対応です。保険加入はリスク共有の代表例ですが、外部委託などの契約による共有もあります。また、保険には補償範囲や限度額があるので、加入すれば損失がすべてなくなるわけではない点も押さえておいてください。
まとめ
情報セキュリティのリスク対応は、リスク共有・リスク回避・リスク保有・リスク低減の四つに分類されます。リスク共有は保険や契約によって損失の負担を他者と分け合う対応で、サイバー保険への加入が代表例です。バックアップセンターの設置、メール送信の承認手続き、HDDの暗号化は、発生確率や影響度を自社の手で下げる対策なのでリスク低減にあたります。「被害を小さくする」のか「負担を分け合う」のかに注目すると見分けやすくなります。
解答・解説
正解はイです
この問題のテーマ
情報セキュリティのリスク対応は「共有・回避・保有・低減」の四つに分けられます。この問題では、そのうちリスク共有にあたる具体例を見分けられるかを問います。
解き方の考え方
まず、各選択肢の対策が「リスクを小さくするもの」か「損失の負担を他者と分け合うもの」かを区別します。発生確率や被害の大きさを下げる対策はリスク低減です。保険や契約で損失の一部を外部に負担してもらう対策はリスク共有です。四つの選択肢のうち三つは自社の手で被害を抑える対策なので、損失の負担を外部に移しているものを選べば正解にたどり着けます。
選択肢ごとの解説
- ×ア 災害によるシステムの停止時間を短くするために，遠隔地にバックアップセンターを設置する。遠隔地にバックアップセンターを置く対策は、災害が起きてもシステムの停止時間や被害を小さくするためのものです。影響度を下げる対策なのでリスク低減にあたります。損失の負担を外部に移すわけではないため、リスク共有ではありません。
- ○イ 情報漏えいによって発生する損害賠償や事故処理の損失補填のために，サイバー保険に加入する。サイバー保険に入ると、情報漏えいによる損害賠償や事故処理の費用を保険会社にも負担してもらえます。損失の一部を他者が引き受けて自社の負担が下がるので、リスク共有の典型例です。なお、保険は事故そのものを防ぐものではなく、起きた後の経済的な損失を補う手段です。
- ×ウ 電子メールによる機密ファイルの流出を防ぐために，ファイルを添付した電子メールの送信には上司の許可を必要とする仕組みにする。ファイルを添付したメールを送るときに上司の許可を必要とする仕組みは、機密ファイルが流出する可能性を下げる対策です。発生確率を下げるので、リスク低減にあたります。損失を他者と分け合うものではありません。
- ×エ ノートPCの紛失や盗難による情報漏えいを防ぐために，HDDを暗号化する。HDDを暗号化しておけば、ノートPCを紛失したり盗まれたりしても中身を読まれにくくなります。情報漏えいの確率や影響を下げる対策なので、リスク低減にあたります。金銭的な負担を第三者に分けるものではありません。
補足
バックアップセンターの設置のように「被害に備える」対策は、損失を外部に任せるように見えるため、共有と取り違えやすい点に注意しましょう。自社の手で被害を小さくしているなら低減で、負担そのものを他者に移しているなら共有です。また、保険には補償範囲や限度額があるため、加入すれば損失がすべてなくなるわけではありません。
POINT
- リスク対応は、リスク共有・リスク回避・リスク保有・リスク低減の四つに分類されます。
- リスク共有は、保険や契約によって損失の負担を他者と分け合う対応で、リスク移転とも呼ばれます。
- リスク低減は、発生確率と影響度の一方または両方を下げる対応で、バックアップ・暗号化・承認手続きなどが該当します。
- リスク回避はリスクの原因そのものを取り除く対応で、リスク保有はリスクを認識したうえで受け入れる対応です。
- 「保険に加入する」とあれば、まずリスク共有を思い浮かべると判断しやすくなります。