リスク対応の4分類は順番のある手順なのか、保険はどれに入るのか
ITパスポート試験 令和7年度 問91 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティのリスクマネジメントにおけるリスク対応を，リスク移転，リスク回避，リスク低減及びリスク保有の四つに分けて実施することにしたとき，これらに関する記述として，適切なものはどれか。
- ア
リスク対応の実施手順であり，リスク回避，リスク移転，リスク低減，リスク保有の順番で進める。
- イ
リスク対応の実施手順であり，リスク保有，リスク低減，リスク移転，リスク回避の順番で進める。
- ウ
リスク対応の選択肢であり，管理対象としたリスクの顕在化に備えて保険を掛けておくことは，リスク回避に該当する。
- エ
リスク対応の選択肢であり，ノートPCの紛失や盗難に備えて社外への持出しをより厳重に管理することは，リスク低減に該当する。
会話形式の解説
講師今回はリスク対応の四つ、回避・移転・低減・保有がテーマです。まず、この四つが決まった順番で進める手順なのか、状況に応じて選ぶ選択肢なのかを確認しましょう。そのうえで、具体的な対策が四つのどれに当たるかを見ていきます。
受験者二つの選択肢が順番を示していますが、順番が違うだけなので、どちらが正しいのか判断できませんでした。決まった順番があるのでしょうか。
講師そこがこの問題のポイントです。四つのリスク対応は実施手順ではなく、リスクごとに選ぶ選択肢です。どれを取るかは、リスクの大きさや対策にかかる費用などを見てリスクごとに決めますし、複数を組み合わせることもあります。
受験者そうすると、回避から始める順番も保有から始める順番も、手順として扱っている時点で誤りということですね。
講師そのとおりです。順番の中身を比べる必要はありません。残りの二つは選択肢としているので、具体例が正しく分類されているかを確かめます。保険を掛けることをリスク回避としている記述はどうでしょうか。
受験者保険を掛ければ損害を避けられるので、回避でもよさそうに思えます。カタカナの用語が似ていて、ここで迷いました。
講師迷いやすいところです。保険は事故そのものを防ぐわけではありません。事故が起きたときの損害を保険会社に負担してもらう仕組みなので、損失の負担先を他者に移すリスク移転に当たります。リスク回避は、リスクを伴う活動そのものをやめてリスクをなくす対応のことです。
受験者事故が起きる可能性は変わらず、誰が損害を払うかが変わるだけなので、移転なのですね。
講師はい。では、ノートPCの社外への持出しをより厳重に管理する対策はどうでしょう。
受験者管理を厳しくすれば、紛失や盗難が起きる可能性が下がります。ただ、持出しの管理なので回避ではないかとも考えました。
講師よい着眼点です。持出しそのものを禁止するなら活動をやめるので回避ですが、この記述は持出しを続けながら管理を厳しくするものです。発生の確率や損害を小さくする対応なのでリスク低減に当たり、これが適切な記述です。
受験者整理すると、活動をやめるのが回避、保険や外部委託で損失を他者に負担させるのが移転、可能性や損害を小さくするのが低減、対策を取らずに受け入れるのが保有ということですね。
講師そうです。保有は、リスクを認識したうえで受け入れる対応で、損害が小さい場合や、対策の費用が損害を上回る場合に選ばれます。また、資料によっては移転を「リスク共有」、保有を「リスク受容」と呼ぶことがあるので、別の名前で出てきても同じものだと分かるようにしておきましょう。
まとめ
情報セキュリティのリスク対応にある回避・移転・低減・保有の四つは、順番に進める手順ではありません。リスクごとに選ぶ選択肢であり、組み合わせて使うこともあります。保険は損害の負担先を他者に移すものなので、回避ではなく移転に当たります。ノートPCの持出しを厳しく管理する対策は、紛失や盗難の可能性を下げるのでリスク低減です。活動をやめるなら回避、可能性や損害を減らすなら低減と考えると見分けられます。
解答・解説
正解はエです
この問題のテーマ
情報セキュリティのリスク対応にある四つ（リスク回避・移転・低減・保有）が、決まった順番で進める手順なのか、状況に応じて選ぶ選択肢なのかを問う問題です。あわせて、具体的な対策が四つのどれに当たるかも問われています。
解き方の考え方
最初に、四つのリスク対応は「手順」ではなく「選択肢」だと押さえます。これで、順番を決めているアとイは外せます。残るウとエについては、その対策がリスクの何を変えるのかで判断します。損害の負担先を他者に移すなら移転、発生の可能性や損害の大きさを小さくするなら低減です。
選択肢ごとの解説
- ×ア リスク対応の実施手順であり，リスク回避，リスク移転，リスク低減，リスク保有の順番で進める。アは、回避、移転、低減、保有の順に進める手順だとしています。しかし四つのリスク対応は実施する順番のある手順ではなく、リスクごとに選ぶ選択肢です。そのため、順番を決めている時点で誤りです。
- ×イ リスク対応の実施手順であり，リスク保有，リスク低減，リスク移転，リスク回避の順番で進める。イは保有から始める順番を示していますが、アと同じく、四つを手順として扱っている点が誤りです。どの対応を取るかは、リスクの大きさや対策にかかる費用などを見て、リスクごとに決めます。
- ×ウ リスク対応の選択肢であり，管理対象としたリスクの顕在化に備えて保険を掛けておくことは，リスク回避に該当する。ウは、保険を掛けることをリスク回避としています。保険は、事故が起きたときの損害を保険会社に負担してもらう仕組みなので、リスク移転に当たります。リスク回避は、リスクを伴う活動そのものをやめてリスクをなくす対応のことなので、保険とは違います。
- ○エ リスク対応の選択肢であり，ノートPCの紛失や盗難に備えて社外への持出しをより厳重に管理することは，リスク低減に該当する。エのノートPCの持出しを厳しく管理する対策は、紛失や盗難が起きる可能性を下げます。発生の確率や損害を小さくする対応はリスク低減なので、この記述は適切です。持出しそのものを禁止するわけではないため、回避ではなく低減に当たります。
補足
この問題のウは、保険をリスク回避と取り違えさせる選択肢です。保険は事故そのものを減らすものではなく、損害を誰が負担するかを変えるものなので、移転と覚えましょう。対策が「活動をやめる」ものか「可能性や損害を減らす」ものかで、回避と低減を見分けられます。
※規格や資料によっては、リスク移転を「リスク共有」、リスク保有を「リスク受容」と呼ぶことがあります。
POINT
- リスク対応の四つは順番のある手順ではなく選択肢で、リスクごとに一つ、または複数を組み合わせて使います。
- リスク回避は、リスクを伴う活動をやめてリスク自体をなくす対応です。
- リスク移転は、保険や外部委託などで損失を他者に負担させる対応です。
- リスク低減は、発生の確率や発生したときの損害を小さくする対応です。
- リスク保有は、リスクを認識したうえで対策を取らずに受け入れる対応で、損害が小さい場合や対策の費用が損害を上回る場合に選ばれます。