令和7年度 ITパスポート試験 公開問題 問91
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
情報セキュリティのリスクマネジメントにおけるリスク対応を，リスク移転，リスク回避，リスク低減及びリスク保有の四つに分けて実施することにしたとき，これらに関する記述として，適切なものはどれか。
解答・解説
正解: エ. リスク対応の選択肢であり，ノートPCの紛失や盗難に備えて社外への持出しをより厳重に管理することは，リスク低減に該当する。
情報セキュリティのリスクマネジメントにおけるリスク対応は、特定・評価されたリスクに対してどのように対処するかを選択するプロセスです。具体的には、主に以下の4つの選択肢（対応策）があります。
- リスク回避: リスクを生じさせる活動そのものを中止・変更し、リスクの要因を排除すること。（例：該当する業務自体をやめる、USBメモリの使用を全面禁止にするなど）
- リスク低減（軽減）: リスクが発生する可能性や、発生した際の影響を小さくするための対策を講じること。（例：セキュリティソフトの導入、持出しルールの厳格化など）
- リスク移転（共有）: リスクによる被害（主に財務的影響）を第三者と共有、または移転すること。（例：サイバー保険や損害保険への加入など）
- リスク保有（受容）: リスクが許容範囲内であると判断し、特に対策を行わずにそのまま受け入れること。
正解であるエは、ノートPCの社外への持出しを厳重に管理することで、紛失や盗難が発生する可能性を小さくしているため、リスク低減の適切な例となります。
各選択肢の解説
- ア: 誤り。これら4つの分類はリスクへの対策を決定するための選択肢であり、記載されている順番で進めるような実施手順ではありません。
- イ: 誤り。アと同様に、これらはリスク対応の実施手順ではありません。
- ウ: 誤り。管理対象としたリスクの顕在化に備えて保険を掛けておくことは、金銭的な負担を第三者に移すため、リスク回避ではなくリスク移転に該当します。
- エ: 正しい。ノートPCの持出しをより厳重に管理することは、リスクの発生可能性を下げるリスク低減に該当します。