令和7年度 問91
セキュリティ
リスク対応に関する問題
情報セキュリティのリスクマネジメントにおけるリスク対応を，リスク移転，リスク回避，リスク低減及びリスク保有の四つに分けて実施することにしたとき，これらに関する記述として，適切なものはどれか。
- アリスク対応の実施手順であり，リスク回避，リスク移転，リスク低減，リスク保有の順番で進める。
- イリスク対応の実施手順であり，リスク保有，リスク低減，リスク移転，リスク回避の順番で進める。
- ウリスク対応の選択肢であり，管理対象としたリスクの顕在化に備えて保険を掛けておくことは，リスク回避に該当する。
- エリスク対応の選択肢であり，ノートPCの紛失や盗難に備えて社外への持出しをより厳重に管理することは，リスク低減に該当する。
答えと解説を見る
✓ これが正解エリスク対応の選択肢であり，ノートPCの紛失や盗難に備えて社外への持出しをより厳重に管理することは，リスク低減に該当する。
解説
四つは進める順番ではなく、場面に応じて選んで使う手立てです。
リスク対応の四つは、上から順にこなす手順ではありません。見つけたリスクごとに、どれを採るかを選ぶ選択肢です。起きる見込みや起きたときの重さを見て、やめてしまうのか、起こりにくくするか被害を小さくするのか、よそへ引き受けてもらうのか、そのまま受け入れるのかを決めます。持ち出しをより厳重に管理することは、紛失や盗難そのものが起きにくくなるので、起こりにくくする側にあたります。よってこの記述が適切です。やめる、下げる、移す、抱えるのどれを採るかは、リスクごとに別々に決めます。一つの方針で全部をまとめて処理するものではありません。
ほかの選択肢はなぜ違うのか
- アリスク対応の実施手順であり，リスク回避，…：実施の手順であり、避ける、移す、下げる、抱えるの順に進めるとしています。四つは並べて選ぶものであって、順にこなしていくものではありません。手順だと読むと、選ぶという性質が消えます。
- イリスク対応の実施手順であり，リスク保有，…：同じく手順であるとし、順序だけを逆に並べています。順序の中身以前に、手順であるという前提そのものが成り立ちません。二つの肢は同じ誤りを共有しています。並べ替えても正しくはなりません。
- ウリスク対応の選択肢であり，管理対象とした…：選択肢であるという前提は正しいのですが、保険を掛けることをリスク回避としています。保険は、損害の負担をよそへ移す手立てなので、移す側にあたります。避けることではありません。
この問題の用語
- リスク対応リスクを避ける・減らす・移す・受け入れるといった手立ての中から選んで実行すること。どれを選ぶかは、見積もった大きさと費用を見て決めます。
- リスク回避リスクを生む活動そのものを行わないと決めて、リスク源をなくす対応。危険と評価したサービスをやめる例がこれで、避けた分は残留リスクに含まれません。
- リスク移転リスクによる損失の負担を、保険や契約で他者と分け合う対応。リスクそのものが消えるわけではなく、負担する相手が変わります。
- リスク保有損失を受け入れて、あえて対策を取らないと決める対応のこと。対応後に残ってしまう残留リスクとは、指しているものが違います。
- リスクマネジメントリスクを見つけて分析し、対応を決めて見直し続ける一連の活動です。組織に合わせて作られることが、原則の一つに挙げられています。
- 実施手順対策基準で決めたことを、現場でどう行うかまで書いた文書です。三階層の一番下に置きますが、規模が小さければ対策基準とまとめられます。
- 紛失機器や書類を、置き忘れなどでなくしてしまうことをいいます。持ち出す機器では、遠くから中身を消せるようにしておくと備えになります。
出典：令和7年度 ITパスポート試験 問91
同じ用語が出る問題
- 令和8年度 問40：内部統制の活動内容（リスク保有）
- 令和6年度 問64：リスク共有の例（リスク回避）
- 令和4年度 問85：情報セキュリティポリシの問題（実施手順）
- 令和4年度 問76：リスク移転に関する問題（リスク移転）
- 令和2年度 10月 （特別措置試験） 問100：ディジタル署名に関する問題（紛失）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）