平成22年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問6

✓ これが正解エデータの安易な作成を禁止し，不要なデータを消去する。

解説

不要なデータを作らず消すのは、リスクの原因を無くす回避です。

リスク対応には、低減、移転、保有、回避の四つの考え方があります。リスク回避は、リスクを生む原因そのものを取り除いたり、リスクのある活動をやめたりして、リスクが起こりえない状態にする対応です。情報漏えいの場合、漏えいするもとは情報そのものです。データを安易に作ることを禁じ、使わなくなったデータを消してしまえば、そもそも漏えいする対象がなくなります。これは起こりやすさや影響を小さくするのではなく、原因ごと無くす対応なので、リスク回避に当たります。四つの対応の定義を一つずつ選択肢の記述に当てはめると、区別しやすくなります。

ほかの選択肢はなぜ違うのか

• ア外部の者が侵入できないように，入退室をよ…：入退室の管理を厳しくするのは、外部の者が侵入して情報を持ち出す可能性を下げる対策です。情報そのものは残っているので、リスク低減に当たります。
• イ情報資産を外部のデータセンタに預託する。：情報資産を外部のデータセンタに預けるのは、管理の責任や損失の一部を他者と分け合う対応です。リスク移転（共有）に当たり、漏えいの原因は残っています。
• ウ情報の重要性と対策費用を勘案し，あえて対…：重要性と対策費用を比べたうえで、あえて対策をとらないのは、リスクをそのまま受け入れる判断です。リスク保有（受容）に当たり、原因は手付かずです。