ITパスポート 2024年 問64

情報セキュリティのリスク対応（リスク共有の例）【ITパスポート 解説】

正解の理由

解法ステップ

1. 「リスク共有」の意味を確認する。
   • リスク共有＝損失の発生時に、損失負担を他者と分け合うこと（例：保険、外部委託、共同事業など）。
2. 各選択肢を「共有」「回避」「保有」「低減」のどれかに分類する。
3. 「損害の発生時に第三者が金銭的負担を負うか」を基準に選ぶ。
   • 第三者（保険会社）が負担する→リスク共有（正解）。
4. 試験では用語の定義で判断するのが確実。事例を見て当てはめる。

選択肢別の誤答解説

• ア: 災害によるシステム停止時間を短くするために、遠隔地にバックアップセンターを設置する。
  • これは「リスク低減（軽減）」です。被害を小さくしたり、影響を短くする対策であり、損失そのものを外部に移すわけではありません。
  • 「バックアップセンター」はデータやサービスの冗長化（予備の拠点）を意味します。
• イ: 情報漏えいによって発生する損害賠償や事故処理の損失補填のために、サイバー保険に加入する。
  • 正解。損害の金銭負担を保険会社と分け合うため、リスク共有（保険による移転／分散）に該当します。
  • 「サイバー保険」はサイバー攻撃や情報漏えいに伴う費用（賠償、対応費用など）を補償する保険です。
• ウ: 電子メールによる機密ファイルの流出を防ぐために、ファイルを添付した電子メールの送信には上司の許可を必要とする仕組みにする。
  • これは「リスク低減（軽減）」または「予防策」です。人的ミスや手続きで発生確率を下げる方法です。損失を他者に分担するわけではありません。
• エ: ノートPCの紛失や盗難による情報漏えいを防ぐために、HDDを暗号化する。
  • これは「リスク低減（軽減）」です。HDD（Hard Disk Drive：ハードディスク装置）を暗号化（データを他人に読めない形に変えること）することで、情報漏えいの影響を小さくします。金銭的負担を第三者に分ける行為ではありません。

よくある誤解

1. 「保険はリスク回避だ」と考える誤解
   • 回避は危険な行為をやめること（例：危険なサービスを提供しない）。保険はリスクを他に移す行為で、回避ではありません。
2. 「対策をたくさんすればリスク共有になる」と思う誤解
   • 対策が多くても、それが自社内で完結する（暗号化、バックアップ等）ならリスク低減や保有です。第三者に損失負担を委ねることが共有です。
3. 「保険に入れば対策はいらない」と考える誤解
   • 保険は金銭的補償をするが、事業継続や信用回復のための予防・低減策は依然必要です。保険は万能ではありません（補償範囲や免責、上限がある）。

補足コラム

• 保険は「費用の一部を肩代わり」してくれますが、全額保証されるとは限りません。補償範囲や免責金額（自己負担）、補償限度額があります。
• 保険料（プレミアム）はリスクの大きさや過去の実績で決まります。対策を行うほど保険料が下がる場合があります。
• 実務では「予防（低減）＋保険（共有）＋必要なら回避／保有」の組み合わせが現実的です。例えば暗号化やアクセス管理で発生確率を下げ、残る金銭リスクを保険でカバーする、といった組み合わせです。

FAQ