ITパスポート 2017年 秋期 問42

個人情報漏えいに対する対応分類の問題【ITパスポート 解説】

正解の理由

解法ステップ

1. まず「回避・軽減・受容・転嫁」の意味を短く確認する
   • 回避：リスクを起こす行為自体をやめる（例：個人情報を扱わない）
   • 軽減：起こる可能性や被害を小さくする（例：仕組みや規則で防ぐ）
   • 受容：リスクをそのまま受け入れる（備えはするがリスクを消さない）
   • 転嫁：損失を他者に移す（保険や外部委託など）
2. 各選択肢を上の定義に当てはめる
3. 「規則で持出しを禁止する」は発生確率を下げる運用的対策なので「軽減」と判断する

選択肢別の誤答解説

• ア: 個人情報の持出しを禁止する（正答該当）
  → 持出しを防ぐことで「発生確率」を下げる運用的対策。したがって軽減に該当します。
• イ: 損害を保険で補償する（転嫁）
  → 保険は損失の負担を保険会社に移す行為です。リスクそのものの発生や影響を減らす対策ではなく、「転嫁（トランスファー）」です。
• ウ: 実データを使わず架空データで作業する（回避）
  → 実際に個人情報を扱わないことで、個人情報漏えいのリスク自体を無くす方法です。リスクを発生させないので「回避（アボイド）」に当たります。
• エ: 発生確率は低いと考え、予備費を確保する（受容）
  → リスクを容認しておき、発生時に備える行為です。リスクを減らすわけではないため「受容（アクセプタンス）」です。

よくある誤解

• 回避と軽減を混同する：
  「やらない（回避）」と「やるけど防ぐ（軽減）」は違います。ウの「架空データ使用」は回避、アの「持出し禁止」は軽減です。
• 保険を「リスクを減らす対策」と考える誤り：
  保険は被害の金銭的負担を移すだけで、発生確率や被害そのものを減らすわけではありません（転嫁）。
• 物理的に安全な環境＝十分な軽減、とは限らない：
  エのように「発生確率が低い」と判断して放置すると、発生時の被害は大きくなりがちです。評価と対策のバランスが必要です。

補足コラム

• アクセス制御（アクセス制御：誰がどこまで情報を見たり触ったりできるかを制限する仕組み）
• 暗号化（データを第三者に読めない形に変える技術）や端末のハードディスク暗号化
• DLP（Data Loss Prevention：情報流出防止）：怪しい持出しや送信を検知・遮断する仕組み
• 施錠や入退室管理などの物理的対策と作業ログ（誰がいつ何をしたかの記録）
• 教育・運用（社員教育や持出し禁止ルールの周知、違反時の対応フロー）

FAQ