情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問06

リスクファイナンシング【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワードを確認：「リスクファイナンシング」→金銭的な対応を意味するかを意識する。
2. 各選択肢が示す対応が「発生確率の低減」「被害の縮小」「資金の手当て」のどれに当たるかで分類する。
3. 「資金の手当て（損害発生時の費用負担）」に該当するものを選ぶ。保険は典型的な資金手当てであるため正解となる。

選択肢別の誤答解説

• ア: システム被害を抑える対策に資金を投入する。
  -> これは発生確率を下げる「リスク低減（リスクコントロール）」です。ファイナンシングではありません。
• イ: リスクが大きいシステムを廃止して新システムに資金を投入する。
  -> リスクを避ける（リスクアボイダンス）または移行による低減に当たります。投資は必要ですが、発生後の資金手当てではありません。
• ウ: 被害を小さくする設備に資金を投入する。
  -> 損害を軽減する「緩和（ミティゲーション）」や事後の回復力強化です。やはりファイナンシングとは異なります。
• エ: リスク発生時に備えて保険を掛ける。
  -> 保険は被害が発生した際に保険金で金銭的損失を補填するため、リスクファイナンシングの代表例です。

よくある誤解

1. 「保険を掛ければ対策は不要」
   -> 保険は損失の金銭的補償を行いますが、発生そのものを防ぐわけではありません。予防と保険は両方必要な場合が多いです。
2. 「投資＝ファイナンシング」
   -> システム改善への投資はリスクを減らす行為であり、ファイナンシング（発生後の資金準備）とは種類が違います。

補足コラム

• 保険（第三者にリスクを移転）
• 自己保有（企業が損失を内部留保で負担）＝リスクの受容（リスクレテンション）
• キャプティブ（企業が出資して設立する保険会社）
  実務では、発生確率や損失額、保険料のコスト、業務継続への影響を比較して、どの組み合わせで備えるかを決めます。たとえば、サイバー攻撃のリスクは予防策（脆弱性対策）と保険（サイバー保険）を組み合わせることが一般的です。契約時は補償範囲・免責金額（自己負担）・除外項目を必ず確認します。

FAQ