ITパスポート 2023年 問72

情報セキュリティのリスクマネジメントにおけるリスク対応の分類で「リスク共有」の説明として適切なものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で求められているのは「リスク共有（他と分ける・移す）」の説明であることを確認する。
2. 各選択肢を読み、どれが「リスクを他者に移す・分散する」意味を表しているかを探す。
3. 「保険への加入」や「別の組織へ移転」と明示しているものが該当するので、それを選ぶ。
4. 他の選択肢は「活動停止（回避）」「発生確率や損害を減らす（低減）」「受け入れる（保有）」に対応するため除外する。

選択肢別の誤答解説

• ア: 個人情報を取り扱わないなど、リスクを伴う活動自体を停止したり、要因を根本から排除すること
  • これは「リスク回避（risk avoidance）」です。リスクの発生源そのものをなくすので、共有ではありません。
• イ: データセンターを地理的に分散するなど、発生確率や損害を減らす対策を講じること
  • これは「リスク低減（risk reduction）」です。被害を小さくするための対策で、他者に移す意味はありません。
• ウ: 保険への加入など、リスクを一定の合意の下に別の組織へ移転又は分散することによって、リスクが顕在化したときの損害を低減すること
  • これは「リスク共有（risk sharing／transfer）」の説明です。保険や契約による移転が典型例です。正答。
• エ: リスクの発生確率や損害が小さい場合に、特に対策を講じず、そのリスクを受け入れること
  • これは「リスク保有（risk retention）」です。対策をせず自己で負担する選択を指します。

よくある誤解

1. 「保険はリスク低減では？」
   • 保険は発生確率を下げるわけではなく、発生した後の金銭的負担を移す（移転）ものです。発生確率や損害の実質軽減をする対策（例：地震対策で耐震化）はリスク低減に当たります。
2. 「データセンターの分散は共有だと思う」
   • 地理的分散は災害時の被害を小さくする（リスク低減）手法です。複数の事業者でデータを分散して損失を分割する形なら共有に近くなりますが、単に複数拠点を自社で運用するだけでは低減です。
3. 「共有＝完全にリスクをなくす」ではない
   • リスク共有は損害負担を軽くするが、リスクそのもの（発生の可能性）は残る場合が多いです。たとえば保険料や契約条項による免責（自己負担）もあります。

補足コラム

• リスク移転とリスク共有の使い分け
  • 保険は典型的な「移転（transfer）」手段です。一方、共同出資やパートナーシップで損失を分け合う場合は「共有（sharing）」と呼ぶこともあります。日本語の「リスク共有」は「移転」を含めて広く使われます。
• 実務での例
  • 保険（財産保険、サイバー保険など）→金銭負担を移す。
  • アウトソーシング（クラウド利用など）→運用リスクの一部をベンダーに移すが、契約（SLA：Service Level Agreement、サービスの品質合意）次第で責任範囲が変わる。SLAはサービス提供者と利用者の合意でサービス品質や補償事項を定める文書です。
• 「残余リスク（Residual risk）」という考え方も重要です。対策を講じても完全に消えないリスクは残り、経営判断で保有（受容）するかさらなる対策を検討します。

FAQ