リスク回避に該当するもの｜情報処理安全確保支援士 平成27年 秋期午前Ⅱ試験 問7
出典：平成27年秋期 午前Ⅱ 問7
分野：セキュリティ ／ 情報セキュリティ管理
特定の情報資産の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。
- ア：外部の者が侵入できないように，入退室をより厳重に管理する。
- イ：情報資産を外部のデータセンターに預託する。
- ウ：情報の新たな収集を禁止し，収集済みの情報を消去する。
- エ：情報の重要性と対策費用を勘案し，あえて対策をとらない。
TSUNAGARU-ADVICE
まず押さえたいこと
リスク回避は、リスクの原因となる活動そのものをやめたり、対象となる情報資産を保有しないようにしたりして、リスクが発生する可能性をなくす考え方です。ポイントは、リスクを生む行為そのものを取りやめることです。
迷ったときの判断軸
入退室管理を強化するのはリスク低減、外部データセンターへの預託はリスク移転や共有に関係し、あえて対策しないのはリスク受容です。リスク回避では、対象業務・情報・活動そのものをやめるという点で切り分けましょう。
科目Bにつなげるために
科目Bでは、リスク特定・リスク分析・リスク評価・リスク対応を事例文の中から判断する問題が出やすいです。管理策を見たときは、単に「対策をしているか」ではなく、回避・低減・移転／共有・受容のどの対応に当たるのかを整理して読むようにしましょう。
リスク対応とは、特定したリスクに対して、どのように対処するかを決めることです。代表的な対応には、リスク移転（共有）・リスク回避・リスク低減・リスク受容（保有）があります。
選択肢ウでは、情報の新たな収集そのものを禁止し、既に収集している情報も消去しています。漏えいの対象となる情報資産を保有しないことで、その情報資産の漏えいというリスクを生じさせないようにしているため、リスク回避に該当します。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：外部の者が侵入できないように，入退室をより厳重に管理する。
⇒リスク低減に該当します。情報資産の保有自体は続けながら、入退室管理を強化することで、不正侵入や情報漏えいが発生する可能性を低くしています。
イ：情報資産を外部のデータセンターに預託する。
⇒リスク移転（リスク共有）に該当します。情報資産の管理を外部事業者に委託することで、リスクへの対応や負担を外部事業者と分担します。ただし、委託したからといって委託元の管理責任まで全てなくなるわけではありません。
エ：情報の重要性と対策費用を勘案し，あえて対策をとらない。
⇒リスク受容（リスク保有）に該当します。リスクが存在することを認識したうえで、影響の大きさや対策費用などを考慮し、追加の対策を行わずにそのリスクを受け入れています。