ITパスポート 2017年 春期 問63

情報セキュリティのリスクマネジメントで「リスク対応」に含まれるものはどれか【ITパスポート 解説】

正解の理由

• リスク特定：組織にどんなリスク（被害につながる出来事）があるかを洗い出すこと。
• リスク分析：そのリスクの発生確率や影響度から「大きさ」を算出すること。
• リスク評価：算出したリスクの大きさを、組織の受容基準（どこまで許容できるか）と比べて判断すること。
• リスク対応：リスクをどう取り扱うかを選び、具体的な対策を計画・実施すること。

解法ステップ

1. 問題文で示された4つの工程（特定・分析・評価・対応）の定義を思い出す。
2. 各選択肢がどの工程の説明に当てはまるかを1つずつ当てはめる。
   • 「洗い出す」→特定
   • 「発生確率と影響度から算定」→分析
   • 「基準と比較して実施の必要性を判断」→評価
   • 「対処方法を選択し、具体的な管理策の計画を立てる」→対応
3. 上記の対応に一致する選択肢が エ であることを確認する。

選択肢別の誤答解説

• ア: 組織に存在するリスクを洗い出す。
  これは「リスク特定（Identification）」の説明です。対応ではなく最初のステップに当たります。
• イ: リスクの大きさとリスク受容基準を比較して、対策実施の必要性を判断する。
  これは「リスク評価（Evaluation）」です。対策を決める判断はここで行いますが、具体的な管理策の計画・実施はリスク対応の段階です。
• ウ: リスクの発生確率と影響度から、リスクの大きさを算定する。
  これは「リスク分析（Analysis）」です。数値で大きさを出す作業で、対応（対策計画）とは別の段階です。
• エ: リスクへの対処方法を選択し、具体的な管理策の計画を立てる。
  ここで述べられている「対処方法の選択」や「具体的な管理策の計画」が、まさにリスク対応（Treatment / Response）に該当します。よって正解です。

よくある誤解

1. 「評価」と「対応」を混同する
   • 評価は「そのままで許容できるかどうかを判断する段階」です。対応は「実際にどう処置するかを決めて実行する段階」です。判断と実行の違いを意識してください。
2. 「分析」はただの計算だと思い込む
   • 分析は確率と影響度の算定だけでなく、データの取り方（過去の事故や業務上の影響）や前提条件の確認も含まれます。誤った前提なら結果も変わります。
3. 対応＝すぐに高コストの対策ではない
   • 対応策には「回避（Avoid）・低減（Mitigate）・移転（Transfer、例：保険）・受容（Accept）」があります。必ずしも高額な投資とは限りません。

補足コラム

• 情報漏えいリスクが見つかった（特定）→ 漏えいが起こる確率と影響を分析（分析）→ 影響が大きく許容できないので対策が必要と判断（評価）→ 権限の見直し、アクセス制御の強化、ログ監視の導入、社員教育の実施を計画・実行（対応）。

• 回避（Avoid）：リスク源をなくす、活動をやめる。
• 低減（Mitigate/Reduce）：発生確率や影響を減らす対策を打つ。
• 移転（Transfer）：損失を第三者に移す（保険、外部委託など）。
• 受容（Accept）：許容できると判断し、対策を行わないか最小限に留める。

FAQ