ITパスポート 2015年 春期 問53

ISMSにおけるリスク対応の事例判断【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文に出てくる4つの対応を定義で整理します。
   • リスク移転（Risk transfer）：損失を第三者に移す（例：保険をかける）。
   • リスク回避（Risk avoidance）：危険な活動をやめる／そもそも行わない。
   • リスク受容（Risk acceptance）：起きた損失を自分で受け入れる。
   • リスク低減（Risk reduction / mitigation）：発生確率や影響を小さくする対策をする。
2. 各選択肢を上の定義に当てはめます。
3. 「危険源を無くす」行為があれば、それが回避に当たると判断します。
4. その結果、サービスから撤退する選択肢が回避に該当するため正解とします。

選択肢別の誤答解説

• ア: セキュリティ対策を行って、問題発生の可能性を下げた。
  → これはリスク低減（リスクを小さくする）です。問題の元を無くすのではなく、発生確率や影響を下げています。よって回避ではありません。
• イ: 問題発生時の損害に備えて、保険に入った。
  → これはリスク移転（損害を保険会社に移す）です。損害の負担先を変える対応で、回避とは異なります。
• ウ: リスクが小さいことを確認し、問題発生時は損害を負担することにした。
  → これはリスク受容（リスクを許容して損害を負う）です。対策を講じず自ら受け入れる選択です。
• エ: リスクの大きいサービスから撤退した。
  → これはリスク回避（危険な活動をやめる）です。リスクの原因となる業務自体をやめるので、発生を根本から防ぎます。

よくある誤解

1. 「保険に入る＝リスク回避」と考える誤解
   • 保険は損害の支払い先を変えるだけで、リスクそのもの（発生可能性や影響）を減らすわけではありません。よって移転です。
2. 「対策をして発生確率が下がれば回避だ」と考える誤解
   • 対策で確率や影響を下げるのはリスク低減です。回避は活動自体をやめることを指します。
3. 「何もしない＝回避」と思う誤解
   • 何もしないで損害を受け入れるのはリスク受容。回避とは逆でリスクを受け入れる行為です。

補足コラム

• 覚え方のコツ（英語の語感を使う）
  • Avoid（回避）→ Aで止める（Actionを止める）と覚えるとよいです。
  • Transfer（移転）→ 運ぶ（transfer）から誰かに渡すイメージ。
  • Accept（受容）→ 受け入れること。
  • Reduce / Mitigate（低減）→ 小さくするイメージ。
• 実務での使い分け例
  • 新サービスが法規制で危険なら「撤退（回避）」。
  • サービスは続けたいがリスクが高い場合は「対策を強化（低減）」。
  • 対策費が高すぎるが損害が限定的なら「自己負担する（受容）」。
  • 起きたときの経済的負担が大きければ「保険で移転（移転）」。

FAQ