ITパスポート 2022年 問76

情報漏えい時の損害に備えるサイバー保険の分類【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で鍵となる語を見つける：「サイバー保険に入る」。
2. 「保険」が何をするかを思い出す：損害が起きたときの費用を保険会社が負担する。
3. リスク対応の分類を確認する：
   • リスク回避（やらない・活動を止める）
   • リスク共有／移転（第三者と負担を分ける／移す）
   • リスク低減（被害の発生確率や影響を減らす対策を行う）
   • リスク保有（自社で損害を受け入れる）
4. 「保険」は第三者と負担を分けるので、該当は イ（リスク共有）と判断する。

選択肢別の誤答解説

• ア: リスク回避
  リスク回避は「その活動をやめてリスク自体を無くす」ことです。例：危険だからそのサービスを提供しない。保険に入ることは活動を続けながら損害を補償してもらう行為なので回避ではありません。
• イ: リスク共有
  正答です。保険契約は発生した損害を保険会社と分担する仕組みです。第三者（保険会社）に損害の一部または全部を負ってもらうため、リスクの共有／移転に該当します。
• ウ: リスク低減
  リスク低減は「被害を小さくする、あるいは起きにくくする対策」です。例：アクセス制御や暗号化を導入して情報漏えいの確率を下げること。保険は被害が起きた後の金銭的補償であり、発生確率や発生時の直接的な被害を減らす対策ではないため低減とは異なります。
• エ: リスク保有
  リスク保有は「起きた損害を自社で受け入れる（自己負担する）」ことです。自社が損害をそのまま負う場合に該当します。保険に入れば自己負担を減らせるので、保有とは逆の発想です。

よくある誤解

1. 「保険に入る＝自分でお金を払うから保有では？」
   保険料（プレミアム）を支払うのは事前のコストです。事故が起きたときの大きな損害を保険会社が負うため、実際のリスク負担は共有（移転）になります。
2. 「共有」＝共同でリスクをコントロールすることと混同する
   リスク共有は経済的負担を分ける意味が中心です。セキュリティ対策を共同で行う（例えば業界でセキュリティ標準を作る）こととは別です。
3. 保険があるからといってリスク低減は不要ではない
   保険は損害をカバーしますが、発生頻度を下げる対策（暗号化・アクセス制御など）は依然重要です。保険は「最後の受け皿」と考えるとよいです。

補足コラム

• 「リスク共有」と「リスク移転」
  実務や教科書では「共有（sharing）」と「移転（transfer）」がほぼ同じ意味で使われることがあります。保険は他者に経済的負担を移すので「移転」と表現されることが多いです。出題側の用語が「共有」でも「移転」と同じ概念だと理解してください。
• サイバー保険の対象例（参考）
  情報漏えいの通知費用、被害調査（フォレンジック）費用、対外的な損害賠償、法的費用など。どこまでカバーするかは保険契約次第です。
• 試験の解き方メモ
  「保険」「補償」「補填」といった語が出てきたら、まず「第三者に負担を移す／分ける」＝共有（移転）を疑うと良いです。

FAQ