ITパスポート 2020年 秋期 問68

リスク対応の分類（クリアデスク）【ITパスポート 解説】

正解の理由

解法ステップ

1. 対応が「何を」するかを整理する
   • ここでは「机上の書類を片付けて、退社時に情報が外部に漏れる可能性を下げる」こと。
2. 4つの分類の意味を思い出す（短く）
   • 移転：第三者に損失や責任を移す（例：保険、アウトソース）
   • 回避：危険を引き起こす活動をやめて発生自体をなくす（例：危険な業務を中止）
   • 低減：発生確率や影響を下げる対策を取る（例：教育、鍵、仕組み）
   • 保有：対策を行わずリスクを受け入れる（例：影響が小さいので放置）
3. 対応を分類に当てはめる
   • 「クリアデスク」は発生確率／影響を下げる行為 → 低減。

選択肢別の誤答解説

• ア: 移転
  • 説明：移転（Transfer）はリスクを第三者に移すことです。たとえばサイバー保険に加入して金銭的損失を保険会社に移す、ある業務を外部に委託して責任を移す、などが該当します。クリアデスクは社内の運用ルールであって第三者にリスクを移していないため該当しません。
• イ: 回避
  • 説明：回避（Avoid）はリスクの原因となる活動をやめて、リスク自体を排除することです。例えば非常に危険な作業を中止する、機密情報そのものを扱わない等です。クリアデスクは「片付ける」ことでリスクを減らすが、情報を扱う業務自体は継続するため回避ではありません。
• ウ: 低減
  • 説明：低減（Mitigate）は発生確率や被害の大きさを下げる対策です。クリアデスクは机上の書類を無くすことで、第三者や通行人に見られる／置き忘れで持ち出されるといった情報漏えいの確率を下げます。従って低減に当たります。
• エ: 保有
  • 説明：保有（Accept）はリスクをあえて受け入れることです。対策を取らず発生した場合の損失を受け入れる場合に用います。クリアデスクは積極的な対策なので保有ではありません。

よくある誤解

• 「書類を残さないからリスクがなくなる → 回避では？」
  • 誤り：業務で書類を扱う限り、完全にリスクが消えるわけではありません。クリアデスクは発生確率を下げる（低減）措置です。
• 「対策を決めれば移転になるのでは？」
  • 誤り：移転は保険や委託など“第三者に責任や損失を移す”場合です。社内ルールや行動でリスクを減らすのは移転ではありません。
• 「厳格なルールだから保有ではない？」
  • 誤り：保有は対策を行わないこと。ルールを設けている時点でリスク低減の行動です。

補足コラム

• クリアデスクは「物理的・人的管理」の代表的な対策です。物理的管理には鍵付きキャビネットやロッカー、人的管理には退社時チェックリストや教育が含まれます。
• 低減策は単独で使うより、複数を組み合わせると効果的です（例：クリアデスク + 施錠保管 + 情報の暗号化 + 社員教育）。
• 運用面では「守られているか」をチェックする仕組み（巡回、監査、退社時のチェックリスト）を用意すると、実効性が上がります。

FAQ