リスク回避｜情報処理安全確保支援士 平成29年 春期午前Ⅱ試験 問9
出典：平成29年春期 午前Ⅱ 問9
分野：セキュリティ ／ 情報セキュリティ管理
個人情報の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。
- ア：情報の重要性と対策費用を勘案し，あえて対策をとらない。
- イ：個人情報の保管場所に外部の者が侵入できないように，入退室をより厳重に管理する。
- ウ：個人情報を含む情報資産を外部のデータセンターに預託する。
- エ：収集済みの個人情報を消去し，新たな収集を禁止する。
TSUNAGARU-ADVICE
まず押さえたいこと
リスク回避は、リスクの原因となる活動そのものをやめることで、リスクが発生しないようにする対応です。個人情報漏えいのリスクであれば、収集済みの個人情報を消去し、新たな収集を禁止することは、個人情報を保有しないことで漏えいリスクをなくす対応に当たります。
迷ったときの判断軸
あえて対策をとらないのはリスク受容、入退室管理を厳重にするのはリスク低減、外部データセンターに預託するのはリスク移転やリスク共有に近い考え方です。リスク回避は、リスクを生む業務や資産の取扱い自体をやめると判断しましょう。
科目Bにつなげるために
科目Bでは、リスク対応方針・個人情報管理・委託先管理・アクセス制御・暗号化・保管期間などと絡めて問われることがあります。対策を考えるときは、リスクを受け入れるのか、低減するのか、移転するのか、回避するのかを分け、その対応がリスクの原因を残しているか、なくしているかを確認しましょう。
リスク対応策は、リスク分析・リスク評価の結果をもとに、「そのリスクにどう対応するか」を決める考え方です。
すべてのリスクに同じ対策をするのではなく、発生しやすさ、損害の大きさ、予算、組織体制などを考えて、適切な対応を選びます。
リスク移転は、リスクを完全になくすのではなく、保険会社や委託先などとリスクを分け合う考え方です。
リスク回避は、リスクの原因を取り除く対応です。たとえば、個人情報漏えいのリスクを避けるために、そもそも個人情報を収集しないといった対応が該当します。
リスク低減は、最も一般的な対応です。リスクをゼロにはできなくても、発生しにくくしたり、発生したときの被害を小さくしたりします。
リスク受容は、対策費用に見合わない小さなリスクなどについて、あえて追加対策をしない判断です。
つまり、リスク対応は「移す、避ける、減らす、受け入れる」の4種類で整理すると分かりやすいです。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：情報の重要性と対策費用を勘案し，あえて対策をとらない。
⇒リスク保有の説明です。リスクの大きさや対策コストを考慮したうえで、リスクを受け入れる対応です。
イ：個人情報の保管場所に外部の者が侵入できないように，入退室をより厳重に管理する。
⇒リスク低減の説明です。入退室管理を強化して漏えいの発生可能性を下げていますが、個人情報の保有自体は継続しています。
ウ：個人情報を含む情報資産を外部のデータセンターに預託する。
⇒リスク移転の説明です。外部事業者へ管理を委託することで、リスクの一部を他者へ移していますが、漏えいリスクそのものをなくす対応ではありません。