ITパスポート 2016年 春期 問77

セキュティリスクへの対応で「リスク移転」に該当する事例はどれか【ITパスポート 解説】

正解の理由

解法ステップ

1. 各選択肢の動作を短く言い換える（例：「対策をする」「保険に入る」「損害を負う」「撤退する」）。
2. それが「損失を減らすのか（リスク低減）」「損失を他人に移すのか（リスク移転）」「損失を受け入れるのか（リスク受容）」「そもそも対象をやめるのか（リスク回避）」を判断する。
3. 「損失を他人に負担させる」ものを選ぶ。これがリスク移転。

選択肢別の誤答解説

• ア: 「セキュリティ対策を行って、問題発生の可能性を下げた。」
  これは「リスク低減（risk reduction / mitigation：被害の発生確率や影響を小さくすること）」です。対策で発生確率を下げているので移転ではありません。
• イ: 「問題発生時の損害に備えて、保険に入った。」
  保険は損害の金銭負担を保険会社に移す仕組みです。したがってリスク移転に該当します。
• ウ: 「リスクが小さいことを確認し、問題発生時は損害を負担することにした。」
  これは「リスク受容（risk acceptance / retention：損害が起きても自分で負担する決定）」です。移転ではなく、そのまま受け入れる選択です。
• エ: 「リスクの大きいサービスから撤退した。」
  これは「リスク回避（risk avoidance：リスクのある活動をやめてリスクそのものを避けること）」です。撤退してリスクを無くす行為で、他者に移すわけではありません。

よくある誤解

1. 「アウトソーシング（outsourcing：業務を外部に委託すること）＝完全なリスク移転」ではない
   • アウトソーシングは一部の責任や負担を移せますが、契約内容によっては発生責任が委託元に残る場合があります。完全に移転できるかは契約次第です。
2. 「保険に入ればリスクがなくなる」わけではない
   • 保険は金銭的損害をカバーしますが、復旧の手間や信用失墜（顧客の信頼低下）などお金で完全に解決できない損失は残ることがあります。また、免責（自己負担額）や補償対象外の例外もあります。
3. 「セキュリティ製品を買う＝リスク移転」ではない
   • セキュリティ製品は通常、リスク低減の手段です。管理や運用責任は自社に残ることが多いです。

補足コラム

• 契約による補償条項（indemnity：相手が損害を補償する約束）
• 金融のヘッジ（hedging：為替や価格変動の損失を他の金融商品で相殺する）
• 一部のアウトソーシング（ただし契約で責任を明確にする必要あり）

FAQ