平成27年度秋期 情報処理安全確保支援士 午前Ⅱ 問7

リスク回避は「危ないものを持たない」作戦だよ

リスク回避は、そもそも危険の原因になる情報や活動を持たないようにして、リスク自体をなくす対応だよ。たとえば、盗まれるのが心配な大事なメモなら、鍵を増やすだけじゃなく「もう集めない」「今ある分も消す」とすれば、盗まれる対象そのものがなくなるよね。情報の新規収集をやめて既存情報を消去するのは、このリスク回避に当たるよ。

この問題で問われていること

この問題では、入退室管理を強化して守る対応や、リスクを受け入れる対応ではなく、「リスクの原因そのものを取り除く」選択肢を見分けられるかがポイントだよ。

リスク回避

守るべき情報を持たなければ、その漏えいリスクも原理的に発生しない。これが回避の考え方です。

情報を集めない / 消去する\n-> リスク源をなくす

確認ポイント

• 入退室強化はリスク低減です。
• 対策を取らないのはリスク受容です。
• 情報収集禁止と消去を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。入退室を厳重にするのは、泥棒が入りにくいように玄関の鍵を強くするイメージで、危険を小さくする対策だよ。でも情報自体は持ち続けているので、漏えいリスクを完全に避けたことにはならないんだ。

選択肢イ

これは不正解だよ。外部のデータセンタに預けるのは、貴重品を自宅ではなく貸金庫に預けるようなものだよ。管理を他の専門家に任せてリスクを移す対策だけど、情報を持つこと自体をやめてはいないので、リスク回避ではないんだ。

選択肢ウ（正解）

これは正解だよ。新しく情報を集めず、すでにある情報も消すのは、『盗まれたら困る物をそもそも家に置かない』という考え方だよ。漏えいする対象そのものをなくすので、リスク回避に当たるんだ。

選択肢エ

これは不正解だよ。あえて対策をとらないのは、『このくらいの雨なら傘なしで行こう』と受け入れるようなものだよ。これはリスクを避けるのではなく、リスクを承知で持ったままにする考え方なんだ。