令和6年度 ITパスポート試験 公開問題 問64
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
情報セキュリティのリスクマネジメントにおけるリスクへの対応を，リスク共有，リスク回避，リスク保有及びリスク低減の四つに分類するとき，リスク共有の例として，適切なものはどれか。
解答・解説
正解: イ. 情報漏えいによって発生する損害賠償や事故処理の損失補填のために，サイバー保険に加入する。
情報セキュリティのリスクマネジメントにおけるリスク対応は、大きく以下の4つに分類されます。
リスク低減: リスクの発生確率や被害を小さくするための対策を講じること。
リスク回避: リスクの原因となる活動そのものをやめること。
リスク共有（リスク転移）: リスクの一部または全部を第三者（保険会社や外部委託先など）と共有、または移転すること。
リスク保有（リスク受容）: リスクに対して対策を講じず、あえて受け入れること。
設問ではリスク共有の例が問われています。
各選択肢の解説
ア: 災害による被害（システムの停止時間）を小さくするための対策であるため、リスク低減に該当します。
イ: 万が一の損害に対して、保険会社とリスクを共有（転移）して財務的な影響を補う対策であるため、リスク共有に該当します。これが正解です。
ウ: 情報流出の発生確率を下げるために承認プロセスを追加する対策であるため、リスク低減に該当します。
エ: 紛失・盗難時の情報漏えいによる影響を抑えるための対策であるため、リスク低減に該当します。