平成29年度春期 情報処理安全確保支援士 午前Ⅱ 問9

午前II 問09：リスク対応の種類を見分けよう

リスク回避は、危ない道そのものを通らないようにするイメージだよ。何もしないのはリスクを受け入れる「受容」、入退室管理を強化するのは事故が起きにくくする「低減」、外部委託は責任や影響を外へ分ける「移転」に近いんだ。個人情報そのものを消して、今後も集めないようにする対応は、リスクの原因をなくすので「回避」に当たるよ。

この問題で問われていること

リスク対応の「回避・低減・移転・受容」を、具体例から正しく分類できるかを確認しよう。

Risk Avoidance

risk avoidance removes the risky activity itself、 such as deleting personal data and prohibiting new collection

avoidance removes source of risk\nmitigation reduces risk\ntransfer shifts burden\nacceptance takes no action

確認ポイント

• 回避は業務や資産をやめる発想。
• 低減や移転と区別する。
• 個人情報を持たない状態にする。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。あえて対策をとらないのは、泥棒が来るかもしれないけど費用が高いから鍵を増やさず様子を見る、という感じ。リスクを承知で受け入れる「リスク受容」なので、「リスク回避」ではないよ。

選択肢イ

これは不正解だよ。入退室を厳しくするのは、部屋の鍵や受付チェックを強化して泥棒に入られにくくするイメージ。漏えいしにくくはなるけど、個人情報を持っている限りリスク自体は残るので、「リスク低減」であって「リスク回避」ではないよ。

選択肢ウ

これは不正解だよ。外部のデータセンタに預けるのは、家の貴重品を自分の家ではなく貸金庫に預けるようなもの。自分だけで抱えず、専門業者に管理を任せてリスクを分けるので「リスク移転」に近いんだ。リスクの原因そのものをなくす「リスク回避」ではないよ。

選択肢エ（正解）

これは正解だよ。収集済みの個人情報を消して、今後も集めないなら、そもそも漏えいする個人情報がなくなるよね。燃えやすい物を倉庫から全部出して火事の原因をなくすようなもので、リスクの元を取り除く「リスク回避」に当たるよ。