情報セキュリティマネジメント 2016年 春期 午前（科目A） 問49

リスク対応の優先順位【情報セキュリティマネジメント解説】

正解の理由

• リスクはゼロにできない（残余リスクが残る）。資源を集中するために重要度で振り分ける必要がある。
• 「許容できる損失」を基準にすることで、費用対効果の高い対策が選べる。
• 対策方法は「回避・低減・移転（保険等）・受容（許容）」から選ぶ。許容を超えるものは回避や低減、移転を検討するのが合理的。

解法ステップ

1. 問題文のキーワードを確認：「事業継続計画」「リスクへの対応」「適切」など。BCPの目的は事業の継続・早期復旧であると意識する。
2. 各選択肢の極端さを判断する。例：「全リスクをゼロにする」「全てについて対応する」は現実的かを考える。
3. BCPで重要なのは「効果的に資源を配分して重要な被害を防ぐ」こと。ここから許容損失を超えるものを優先する イ を選ぶ。
4. 不適切な選択肢はコスト無視や実現性欠如で除外する。

選択肢別の誤答解説

• ア: 「全リスクを網羅的に洗い出し、リスクがゼロとなるように策定する。」
  • 問題点：リスクを完全にゼロにすることは現実的でない。時間・コストが無限にかかるため、優先度の高いリスクに資源を集中する判断が必要。
• イ: 「想定するリスクのうち、許容できる損失を超えるものを優先的に対処する。」
  • 正しい：事業影響（重要業務の停止による損失）を基に優先順位を付け、効果的な対策配分を行う考え方と一致する。
• ウ: 「想定するリスクの全てについて、発生時の対応策をとることを目的とする。」
  • 問題点：全てに同等の対応策を用意するのは非現実的。発生確率が極めて低く、影響も軽微なものにまで同じ対策を取るのは資源の浪費。
• エ: 「想定するリスクの優先度に差をつけずに検討する。」
  • 問題点：優先度をつけないと重要な業務停止リスクが後回しになり、重大な被害を招く。BCPは優先順位付けが重要。

よくある誤解

• 誤解1：全てのリスクを無くせば安心、という考え
  → リスクをゼロにすることはほぼ不可能で、コストが膨大になります。重要なのは許容できない損失を防ぐことです。
• 誤解2：発生確率が低ければ対策は不要
  → 発生確率が低くても影響が極めて大きければ優先度は高くなります（影響度と確率の両面で評価する）。

補足コラム

1. 事業影響分析（BIA：Business Impact Analysis：業務停止が与える影響を分析）で重要業務と影響度を洗い出す。
2. 各リスクについて「発生確率」と「業務影響度」を評価する。
3. リスク許容度（会社がどの程度の損失を受け入れられるか）を経営層と決める。
4. 許容度を超えるリスクに対して、回避（業務変更）、低減（冗長化・代替手段）、移転（保険等）、受容（事後対応のみ）を選択する。
5. 計画を作成し、定期的に訓練・見直しを行う。例えば、重要システムは冗長化して短時間で切り替えられるようにする、という具合です。

• リスク許容度（risk appetite）：組織が受け入れられる損失の大きさの目安。経営判断で決める。
• RTO（Recovery Time Objective：復旧時間目標）：停止からどのくらいで復旧すべきか。
• RPO（Recovery Point Objective：復旧地点目標）：どの時点までのデータ損失を許容するか。

FAQ