平成22年度春期 情報処理安全確保支援士 午前Ⅱ 問5

漏えいして困る顧客データは「最初から作らない・用が済んだら消す」ことで、リスクを完全にゼロにする（リスク回避）

セキュリティの「リスク対策」の分類についての問題だよ。個人情報を漏えいさせないために、「そもそも不要なデータを保存しない」「使い終わったら即座に消去する」という対策は、「リスクの発生源そのものを無くしてしまう」ことになるので、「リスク回避」と呼ばれるよ。

この問題で問われていること

保険に入って損害を補償する「リスク移転（転嫁）」や、監視を強める「リスク低減（低減）」と区別して、「リスクを生む行為や資産そのものを完全に無くして避ける（リスク回避）」の定義を選ぼう。

リスク対応の分類

入退室強化はリスク低減、対策しないのはリスク受容です。リスク源そのものをなくすのが回避です。

リスク源をなくす -> 回避\n発生確率や影響を下げる -> 低減\nあえて受け入れる -> 受容

確認ポイント

• 入退室管理強化はリスク低減です。
• 対策を取らないのはリスク受容です。
• 不要データを作らず消去する対応を選びます。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。入退室を厳しくするのは、家の玄関の鍵を増やして泥棒に入りにくくするようなものだね。危険を小さくする“リスク低減”であって、危険の元をなくす“リスク回避”ではないよ。

選択肢イ（正解）

これは不正解だよ。外部のデータセンタに預けるのは、貴重品を自宅ではなく貸金庫に預けるようなものだね。管理の一部を外に任せる“リスク移転”に近く、データそのものをなくす対応ではないよ。

選択肢ウ

これは不正解だよ。『高い鍵を付けるより、盗まれても困らない物だからそのままにする』という考え方で、リスクを受け入れる“リスク保有”に当たるんだ。リスクの原因そのものをなくす対応ではないよ。

選択肢エ

これは正解だよ。不要なデータを消すのは、盗まれたら困る書類をそもそも机に置かないようにするイメージだね。漏えいする対象を減らしてリスクの原因を取り除くので、“リスク回避”に当たるよ。