情報セキュリティマネジメント 2018年 春期 午前（科目A） 問02

リスク回避【情報セキュリティマネジメント解説】

正解の理由

• リスク回避：リスク原因そのものを取り除く、または危険な活動を中止する対応。
• リスク低減（軽減）：発生確率や影響を小さくする対策（例：冗長化、アクセス制御）。
• リスク移転：発生した損失の一部または全部を第三者に負わせること（例：保険、契約による賠償負担）。
• リスク受容（保有）：対策を取らず、発生したときに対応・負担すること。

解法ステップ

1. 問題文で「何を問うているか」を確認する：今回は「リスクの回避に該当するもの」。
2. 各選択肢を「回避・低減・移転・受容」のいずれかに当てはめる。
3. 「危険源を無くす（活動を止める）」か「被害を減らすか」「損害を第三者に移すか」「受け入れるか」で分類する。
4. 回避は「やめる・除去する」行為なので、該当する選択肢を選ぶ。

選択肢別の誤答解説

• ア: 情報システムのハードウェア構成を冗長化する。
  → 冗長化はシステムが故障してもサービスを継続できるようにする対策です。これは発生確率や影響を下げる「リスク低減（軽減）」に該当します。リスクそのものを消すわけではありません。
• イ: 被害からの復旧に掛かる費用を算定し、保険を掛ける。
  → 保険により金銭的損失を第三者（保険会社）に移すため、「リスク移転」に該当します。リスクの発生自体は残りますが、経済的負担を移す手段です。
• ウ: リスクレベルが大きいと評価した情報システムを用いるサービスの提供をやめる。
  → サービス提供をやめることで、そのシステムに起因するリスクを発生させない（危険源を取り除く）ため、これが「リスク回避」です。問題の正解に該当します（ウ）。
• エ: リスクレベルが小さいので特別な対応をとらないという意思決定をする。
  → 意図的に対応を行わない判断は「リスク受容（保有）」です。受容は経営判断として許容される場合がありますが、回避とは異なります。

よくある誤解

1. 「保険を掛ければリスクは消える」と考える誤解
   → 保険は金銭的な損失を補填する手段であって、事故や障害の発生そのものを防ぐものではありません。発生リスクは残ります。
2. 「冗長化すればリスクがゼロになる」と思う誤解
   → 冗長化は可用性を高めますが、設計ミスや同一災害による全滅など、ゼロにはできないリスクもあります。残リスクの存在を常に意識する必要があります。
3. 「何もしない＝放置」は同義ではない誤解
   → 「受容」は根拠ある経営判断であり、記録・承認・監視が必要です。単なる放置や無関心とは違います。

補足コラム

• まずリスク評価を行い、事業影響（売上、顧客信頼、法令違反の有無）を確認します。
• 回避を選ぶ場合は、サービス停止の影響（顧客・契約・法的義務）を検討し、代替手段や移行計画を立てます（例：代替サービスの案内、データ保管、契約解除手続き）。
• 意思決定は経営層や関係部署の合意のもとで行い、記録（リスク対応計画）と、関係者への周知を行います。
• 回避が難しい場合は、低減や移転と組み合わせて対応することが一般的です。

• 回避は確実だが業務停止の影響が大きい場面では慎重に。
• 小規模リスクは受容して監視する方がコスト効率的な場合がある。
• いずれの対応も「理由」と「責任者」を明文化しておくこと（監査・説明責任のため）。

FAQ