令和5年度 ITパスポート試験 問72
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
情報セキュリティのリスクマネジメントにおけるリスク対応を，リスク回避，リスク共有，リスク低減及びリスク保有の四つに分類したとき，リスク共有の説明として，適切なものはどれか。
解答・解説
正解: ウ. 保険への加入など，リスクを一定の合意の下に別の組織へ移転又は分散することによって，リスクが顕在化したときの損害を低減すること
情報セキュリティのリスクマネジメントにおいて、リスク対応は主に以下の4つに分類されます。
- リスク回避：リスクを伴う活動自体を停止したり、リスクの原因を除去したりすること
- リスク共有（移転）：保険への加入や業務の外部委託などにより、リスクの一部または全部を他者と分担すること
- リスク低減（軽減）：情報セキュリティ対策を導入するなどして、リスクの発生確率や損害を減らすこと
- リスク保有（受容）：対策費用が損害額を上回る場合などに、あえて対策を講じずリスクを受け入れること
問題では「リスク共有」の説明が問われているため、保険への加入などによってリスクを他組織へ移転・分散する記述が正解となります。
各選択肢の解説
- ア：「リスクを伴う活動自体を停止したり，リスク要因を根本的に排除したりすること」は、リスク回避の説明です。
- イ：「リスクの発生確率や損害を減らす対策を講じること」は、リスク低減の説明です。
- ウ：正解です。「保険への加入など，リスクを一定の合意の下に別の組織へ移転又は分散する」ことは、リスク共有の説明です。
- エ：「リスクを認識した上で特に対策を講じず，そのリスクを受け入れること」は、リスク保有の説明です。