ITパスポート 2021年 問99

問題タイトル 【ITパスポート 解説】

正解の理由

• リスク移転：発生した損害の負担（主に金銭的な影響）を第三者（例：保険会社）に移すこと。保険が典型例です。
• リスク回避：リスクを生む活動自体をやめること（例：危険なサービスの提供を中止する）。
• リスク低減（軽減）：発生確率や影響を下げる対策を行うこと（例：パッチ適用、ウイルス対策ソフト）。
• リスク保有（受容）：リスクを自分で受け入れ、損失が発生した場合に備えて資金を確保するなどの対応をとること。

解法ステップ

1. まず問題文で使われているキーワード（移転・回避・低減・保有）が「どの段階（特定・分析・評価・対応）」に属する説明か確認します。
2. 各選択肢の具体例（保険、マルウェア対策、回避の可否評価、脆弱性の数値化）と、上の用語の定義を照らし合わせます。
3. 定義に一致する例があればその選択肢が正答候補です。保険＝移転は明確に合致します。
4. 残りの選択肢は「用語の段階（特定・分析・評価・対応）」や「分類の対象（資産・手法・対策）」が食い違っているか確認して除外します。

選択肢別の誤答解説

• ア（正しい）
  保険を掛けることは、発生した損害の金銭的負担を保険会社に移す行為です。したがってリスク対応の分類では「リスク移転」に入ります。補足すると、保険は「損害の影響（インパクト）を他者に移す」手段であり、発生確率そのものを変えるわけではありません。
• イ（誤り）
  この選択肢は「リスク特定（資産の使用目的の分類）」の話と、「マルウェア対策ソフト＝リスク低減」という話を混同しています。マルウェア対策ソフトは確かにリスクを低減する対策（リスク低減）ですが、問題文の最初にある「リスク特定において保有資産の使用目的を分類したもの」には当たりません。つまり「分類の対象（資産の使用目的）」と「対策の分類（低減・移転など）」を取り違えています。
• ウ（誤り）
  「リスク評価において、リスクを回避できるかどうかで評価する」は誤りです。リスク回避はリスク対応の一つの方法であり、「評価（どれくらい深刻かを判断する行為）」と混同しています。リスク評価は通常、定性的（低・中・高）や定量的（期待損失など）にリスクの大きさを評価することを指します。回避可能かどうかは対応策の検討で扱う内容です。
• エ（誤り）
  「脆弱性を客観的な数値で表す手法」は、むしろリスク分析・評価で用いる技法（例：CVSS＝Common Vulnerability Scoring System：脆弱性の共通評価尺度）に該当します。リスク保有（受容）は“リスクを残す”という対応方針であり、数値化手法そのものではありません。よってこの説明は合いません。

よくある誤解

1. 「保険＝リスクが全部無くなる」と考える誤解
   保険は金銭的な負担を移すだけで、被害が発生する可能性（発生確率）やシステムの脆弱性自体は残ります。業務停止や信用損失など、保険でカバーできない損害もあります。
2. 「資産（ソフトや機器）＝リスクの分類」と混同する
   マルウェア対策ソフトやファイアウォールは「リスク低減」の手段です。一方、資産の用途分類や特定はリスク特定のプロセスであり、別の視点です。
3. 「数値化＝保有（受容）」と考える誤解
   脆弱性やリスクを数値で表す（例：CVSSや期待損失）は分析・評価の方法です。数値が小さいからといって自動的に保有を選ぶわけではなく、経営判断やコスト効果で保有か対応（低減・移転・回避）を決めます。

補足コラム

• 期待損失（Expected Loss）の考え方
  リスク評価でよく使う考え方に「期待損失」があります。期待損失は、発生確率（P）と発生時の損害額（L）を掛け合わせたものです。式で表すと
  $E=P\times L$
  これを使うと、どのリスクに優先的に対応すべきか（高い期待損失から対応）を判断しやすくなります。
• CVSS（Common Vulnerability Scoring System：脆弱性の共通評価尺度）
  脆弱性の深刻度を数値化する仕組みの一つです。数値化すると優先順位付けがしやすくなりますが、対策の選択（低減・回避・移転・保有）は別の意思決定プロセスになります。

FAQ