ITパスポート 2019年 秋期 問86

リスク対応（移転・回避・受容・低減）の例の選択【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で求められているのは「リスクの低減」の具体例かを確認する。
2. 各選択肢が「回避（避ける）」「移転（他に負わせる）」「受容（そのまま受け入れる）」「低減（影響や発生確率を下げる）」のどれかに当てはまるかを分類する。
3. 「実際に被害が起きたときに被害を小さくするか」を判断する。被害を小さくする手段であれば低減に該当する。
4. 当てはめてみて、暗号化は被害（情報の可読性）を小さくするため低減であると結論づける。

選択肢別の誤答解説

• ア: インターネット上のサービスから撤退する。
  • これは「回避（リスク回避）」です。リスクの原因そのもの（サービス提供）をやめることで、リスクを発生させない手法です。低減とは異なります。
• イ: 個人情報漏えいに備えて保険に加入する。
  • これは「移転（リスク移転）」に該当します。被害発生時の経済的損失を保険会社に転嫁するだけで、発生確率や情報そのものの漏えいを減らす対策ではありません。
• ウ: サーバ室への入室を制限して追加対策を行わない。
  • これは「受容（リスク受容）」、または不適切な判断による放置です。リスクを許容して対策を取らないため、低減の例ではありません。実務上はリスク評価に基づく受容が必要で、理由の記録や監視は必須です。
• エ: ノートPCのHDDに保存する情報を暗号化する。
  • たとえ機器が紛失・盗難に遭ってもデータが読めなくなるため、被害の大きさ（情報漏えいの影響）を小さくします。よってリスク低減です。

よくある誤解

1. 「保険を掛ければリスク低減になる」
   • 保険は被害の後始末（損失の補填）に役立ちますが、発生確率や実際の情報漏えいを減らすものではありません。したがって「移転」であり「低減」ではありません。
2. 「物理的に安全なら追加対策は不要」
   • 「サーバ室にアクセス制限があるから安全」のように判断して対策を止めると、内部犯行や鍵の複製、運用ミスなどでリスクが残ります。リスク評価は多面的に行い、必要なら低減策を重ねる（多層防御）べきです。
3. 「暗号化すれば何もしなくてよい」
   • 暗号化は強力な低減策ですが、鍵管理が甘ければ意味がありません。鍵の漏えいやバックアップの扱いも含めて運用する必要があります。

補足コラム

• 暗号化の実装例
  • フルディスク暗号化（HDD/SSD全体を暗号化する手法）。WindowsのBitLocker（ビットロッカー）、macOSのFileVault（ファイルボルト）などが有名です。
  • 暗号鍵の管理：暗号化で重要なのは「鍵（パスワードや鍵ファイル）」の管理です。鍵を安全に保管し、複雑なパスフレーズやTPM（TPM：Trusted Platform Module。暗号鍵を安全に保持する専用チップ）の利用を検討します。
  • 付加的対策：遠隔消去（リモートワイプ）、デバイス認証、MDM（MDM：Mobile Device Management、モバイル機器を一元管理する仕組み）などを組み合わせると効果的です。
• リスクマネジメントの基本プロセス（簡単に）
  1. 特定（何が問題か） 2. 評価（発生確率と影響度を評価） 3. 対応（回避・移転・受容・低減のいずれかを選ぶ） 4. 監視・改善（定期的に見直す）

FAQ