平成27年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問7

✓ これが正解ウ情報の新たな収集を禁止し，収集済みの情報を消去する。

解説

情報の収集をやめて消去し、漏えいの元を無くすのがリスク回避です。

リスク対応には、回避、低減、移転（共有）、保有（受容）の四つの型があります。リスク回避は、リスクを生む活動そのものをやめて、リスクが起きる余地を無くす対応です。この設問の題材は、特定の情報資産が漏えいするリスクです。情報を新たに集めず、すでに持っている情報も消してしまえば、漏えいする対象そのものが無くなります。これがリスク回避に当たります。見分けるときは、その対策が活動をやめるのか、起こりにくくするのか、他者に任せるのか、そのまま受け入れるのかを確かめます。

ほかの選択肢はなぜ違うのか

• ア外部の者が侵入できないように，入退室をよ…：入退室の管理を厳しくして侵入されにくくするのは、漏えいが起こる可能性を下げる対策で、リスク低減に当たります。情報を持ち続けている点は変わりません。
• イ情報資産を外部のデータセンタに預託する。：情報資産を外部のデータセンタに預けるのは、管理の一部を他者に任せて影響を分け合う対応であり、リスク移転（共有）に当たります。情報の保有をやめたわけではありません。
• エ情報の重要性と対策費用を勘案し，あえて対…：重要性と費用を比べたうえで、あえて何も手を打たないのは、リスクをそのまま受け入れる判断で、リスク保有（受容）に当たります。漏えいの元は残ったままです。