平成24年度秋期 情報処理安全確保支援士 午前Ⅱ 問9

午前II 問09：リスク回避は“危ない元”を手放すこと

リスク回避は、リスクの原因そのものを持たないようにする対応だよ。たとえば、個人情報を持っていること自体がリスクなら、新しく集めるのをやめて、すでに持っている情報も消す。これは“火の元を厳重に見張る”のではなく、“そもそも火を使わないようにする”イメージで、リスク回避に当たるよ。

この問題で問われていること

この問題では、入退室管理を強化して守る対応や、リスクを承知で受け入れる対応ではなく、リスクの原因そのものをなくす選択肢を見分けられるかが問われているよ。

リスク回避の発想

守る対象を持たなければ漏えいリスク自体がなくなる。これが回避の考え方です。

情報を集めない / 消す\n-> 漏えいリスク自体をなくす

確認ポイント

• 入退室強化はリスク低減です。
• 対策を取らないのはリスク受容です。
• 情報収集禁止と消去を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。入退室を厳しくするのは、泥棒が入りにくいように鍵や受付を強化するようなものだね。リスクそのものをなくすのではなく、起きにくくしているだけなので、リスク低減に当たるよ。

選択肢イ

これは不正解だよ。外部のデータセンタに預けるのは、自分の家ではなく警備のしっかりした貸金庫に預けるようなものだね。リスクを自分だけで抱えず外部に分けているので、リスク移転やリスク共有に当たるよ。

選択肢ウ（正解）

これは正解だよ。漏えいが怖いなら、そもそも漏れる情報を持たないようにする、という考え方だね。家で例えると、盗まれたら困る宝石を家に置かないようにする感じ。リスクの原因そのものをなくしているので、リスク回避に当たるよ。

選択肢エ

これは不正解だよ。あえて対策をとらないのは、安い傘だから盗まれても仕方ないと考えてそのまま置いておく感じだね。リスクをなくしたり減らしたりしていないので、リスク受容に当たるよ。