ITパスポート 2016年 秋期 問89

サーバ室浸水リスクに対する経営判断【ITパスポート 解説】

正解の理由

• サーバルーム内の「サーバ（サービスを提供するコンピュータ）」や、サーバルームを移転するなどの具体的措置を検討したが、行わなかった点が判断根拠です。

解法ステップ

1. 問題文で会社が「実際に何をしたか」を探す。→ 対策は「特に講じない」とある。
2. リスク対応の4分類を思い出す（下で簡単に示します）。
3. 「何もしない」＝リスクをそのまま受け入れる、に対応する選択肢を選ぶ。→ ウ

• リスクの回避（Avoid）：危険な行為をやめる、移転や活動そのものを止める。
• リスクの移転（Transfer）：保険や他社に責任を移す。
• リスクの低減（Reduce or Mitigate）：対策をして発生確率や影響を減らす。
• リスクの受容（Accept）：リスクを許容して特に対策を行わない。

選択肢別の誤答解説

• ア: リスクの移転
  誤りです。移転は「損害を保険でカバーする」や「運用を外部に委託する」など、リスクの負担を他に移す行為を指します。問題文では負担を移していません。
• イ: リスクの回避
  誤りです。回避は「危険な活動をやめる」「サーバルームを高い階へ移す」など、リスク源から離れる行為です。A社は移転を検討したが実行せず、回避はしていません。
• ウ: リスクの受容
  正しいです。A社はリスクがあることを認識した上で、「ほとんど起きない」と判断し、対策を講じない選択をしています。これはリスク受容に該当します。
• エ: リスクの低減
  誤りです。低減は「床を高くする」「浸水対策を行う」「遠隔バックアップを作る」など、発生確率や影響を減らすための具体的対策を講じることです。問題文では特に対策をしていません。

よくある誤解

1. 「対策を検討しただけで回避や低減になる」という誤解
   検討しただけでは行為は実行したことになりません。選択肢は「実際にどの対応を取ったか」が問われます。
2. 「可能性が低い＝リスクはゼロ」と考える誤解
   低い確率でも影響が大きければ対策を検討すべきことがあります。判断は確率と影響（損害の大きさ）の両方で行います。
3. 「受容は放置と同じ」との誤解
   受容（Accept）は意図的にリスクを許容する決定であり、記録・監視や将来の見直しを伴うことが多いです。単なる無関心や放置とは異なります。

補足コラム

• 「100年に1度」という表現は、起きないことを意味するわけではありません。確率統計の言い回しであり、まれに発生するリスクがあることを示します。
• リスクを受容する場合でも、次の点は重要です：判断理由の記録、監視（状況が変われば再検討）、インシデント発生時の対応手順（例えばBCP（Business Continuity Plan：事業継続計画））の整備。
• 具体例：浸水リスクを低減する方法には、サーバを2階以上に移す、サーバの冗長化（遠隔地にバックアップ）を行う、保険に加入する（移転）などがあります。各手段は費用と効果のバランスで選びます。

FAQ