平成23年度特別 システム監査技術者 午前Ⅱ 問11

リスク対応を考える一つの視点

リスクへの対応を整理するときは、問題で示された状況と目的を丁寧に対応づけ、用語の印象ではなく、何を変えようとしているのか、どの関係に働きかけるのかという観点から検討しましょう。

この問題で問われていること

一つの観点として、各記述が示す行為の対象と、リスクに対して取ろうとしている方向性が、問題文の状況や組織の目的、関係者への影響と整合しているかを確認してください。

視点

リスク対応を分類するときは、まず記述されている行為を短く言い換え、誰が何に対して働きかけるのかを整理します。そのうえで、問題文の目的との関係を一つずつ照合します。

確認ポイント

• 記述された行為の対象は何か
• その行為が目指す変化は何か
• 問題文の目的と矛盾していないか

正解

ア

解説

リスクの保有とは、リスクを認識しながら追加の対策を行わず、そのリスクを組織が受け入れることです。配置変更は回避、保険は移転、認証や暗号化は低減に該当する。

理由

リスクの保有は、想定される危険を認識したうえで、現状を変更したり第三者へ負担を移したりせず、組織がそのリスクを受け入れる対応です。したがって、対策の有無だけでなく、何を変えているかを確認する。

比較

危険な場所や状態を変更して発生を避ける対応はリスクの回避、保険などで損失負担を移す対応は移転、認証や暗号化で被害を抑える対応は低減です。各選択肢は、リスクへの働き方を基準に分類する。

選択肢ア（正解）

これは正解だよ。インターネットからの不正アクセスによる被害を想定しながら、WebサーバのLAN上の配置を現状のDMZのままとしている。新たな回避・移転・低減策を示さず、認識したリスクを受け入れる対応なので、リスクの保有に該当する。

選択肢イ

これは不正解だよ。水害を避けるためにコンピュータセンタを安全な高台へ移設するのは、危険な場所から離れて水害リスクの発生を避ける対応である。リスクをそのまま受け入れる保有ではなく、リスクの回避に該当する。

選択肢ウ

これは不正解だよ。大規模災害によるシステム停止に備えて保険に加入するのは、災害そのものをなくすのではなく、発生した場合の損失負担を保険会社へ移す対応である。したがって、リスクの保有ではなく、リスクの移転に該当する。

選択肢エ

これは不正解だよ。ノートPCの紛失に備えて指紋認証や保存データの暗号化を導入するのは、紛失自体を避けるのではなく、不正利用や情報漏えいの被害を抑える対応である。そのため、リスクの保有ではなく、リスクの低減に該当する。

学習のポイント

保有・回避・移転・低減の違いを、実際の対策の働きで判別する。