システム監査技術者 2011年 午前2 問11

リスク保有【午前2解説】

正解の理由

解法ステップ

1. 選択肢の対策が、リスクを「受け入れる」「回避する」「軽減する」「移転する」のどれに当たるかを考えます。
2. 保険への加入は、損失の負担を保険会社に移すため「リスク移転」です。
3. 認証や暗号化の導入は、被害の発生可能性や影響を小さくするため「リスク低減」です。
4. 新たな対策を行わず、現状のまま受け入れるアが「リスク保有」です。

選択肢別の誤答解説

• ア：Webサーバの配置を現状のままとし、追加対策を行っていません。残るリスクを受け入れているため、リスク保有です。
• イ：水害リスクを避けるため、コンピュータセンタの場所を変えています。リスクを避ける対応であり、リスク回避に当たります。
• ウ：災害による損失に備えて保険に加入しています。損失の負担を保険会社へ移すため、リスク移転です。
• エ：指紋認証や暗号化を導入し、紛失時の不正利用や情報漏えいのリスクを抑えています。リスク低減に当たります。

よくある誤解

• 対策をしていないことは、必ずリスク保有とは限りません。 リスクを認識し、受け入れる判断をしていることがポイントです。
• リスク保有は、何もしないまま放置することと同じではありません。 残るリスクを把握し、受容できると判断したうえで選ぶ対応です。
• 保険加入はリスク低減ではありません。 災害の発生自体を防ぐのではなく、発生後の経済的損失を移転する対策です。

補足コラム

• 回避：リスクの原因となる活動をやめたり、環境を変えたりする
• 低減：予防策や影響緩和策によってリスクを小さくする
• 移転：保険や契約などにより、損失の負担を第三者に移す
• 保有：対策後に残るリスクなどを、許容できるものとして受け入れる

FAQ