リスク対応の分類
情報セキュリティリスクへの対応のうち，リスク共有（リスク移転）に該当するものはどれか。
- ア個人情報の漏えいリスクが高いと判断したので，個人情報を取り扱う業務そのものを廃止する。
- イ不正アクセスの発生確率を下げるために，多要素認証と侵入検知システムを導入する。
- ウ想定される損失額が小さいので，特段の対策は講じずにそのリスクを受け入れる。
- エ情報漏えい事故が発生した場合の損害賠償に備え，サイバー保険に加入する。
正解と解説を見る
正解 エ
この問題の基礎知識
- リスクの大きさは，一般に，発生可能性（起こりやすさ）と影響（結果）の組合せで評価する。
- リスク対応は，一般に，リスク回避，リスク低減（軽減），リスク共有（移転），リスク保有（受容）の四つに分類される。
- 分類の観点は，リスクの原因となる活動自体をなくすのか（回避），発生可能性や影響を小さくするのか（低減），損失の負担を他者と分け合うのか（共有），対策を講じずに受け入れるのか（保有）である。
ア個人情報の漏えいリスクが高いと判断したので，個人情報を取り扱う業務そのものを廃止する。
リスクの原因となる活動自体をやめることでリスクを生じさせないようにする対応は，リスク回避に該当する。
イ不正アクセスの発生確率を下げるために，多要素認証と侵入検知システムを導入する。
管理策を導入してリスクの発生可能性や影響を小さくする対応は，リスク低減（リスク軽減）に該当する。
ウ想定される損失額が小さいので，特段の対策は講じずにそのリスクを受け入れる。
対策を講じずにリスクを受け入れ，発生した場合の損失を自ら負担する対応は，リスク保有（リスク受容）に該当する。
エ情報漏えい事故が発生した場合の損害賠償に備え，サイバー保険に加入する。正解
保険の加入や外部委託によって，リスクによる損失の負担を他者と分担する対応は，リスク共有（リスク移転）に該当する。
検証用の出典出典照合済み
NIST SP 800-39 Managing Information Security Risk ／ JIS Q 31000:2019 リスクマネジメント－指針照合の根拠（4 件）
- エ（正解）: 保険によるリスクの移転
Risk transfer shifts the entire risk responsibility or liability from one organization to another organization (e.g., using insurance to transfer risk from particular organizations to insurance companies).
NIST SP 800-39 · Section 3.3 Risk Sharing or Transfer（新しいタブで開きます） - ア（誤り）: リスクの原因となる活動の廃止はリスク回避
risk avoidance involves taking specific actions to eliminate the activities or technologies that are the basis for the risk
NIST SP 800-39 · Section 3.3 Risk Avoidance（新しいタブで開きます） - イ（誤り）: 管理策の導入はリスク低減
risk mitigation can include common security controls at Tier 1, process re-engineering at Tier 2, and/or new or enhanced management, operational, or technical safeguards or countermeasures
NIST SP 800-39 · Section 3.3 Risk Mitigation（新しいタブで開きます） - ウ（誤り）: 許容範囲内のリスクを受け入れるのはリスク受容（保有）
Risk acceptance is the appropriate risk response when the identified risk is within the organizational risk tolerance.
NIST SP 800-39 · Section 3.3 Risk Acceptance（新しいタブで開きます）
JIS Q 27000 / 31000 本文は読めないため，同じ分類（受容・回避・低減・共有／移転）を定める NIST SP 800-39 で照合した。