平成30年度秋期 ITストラテジスト 午前Ⅱ 問25

対応方法を見分ける視点の整理

個人情報に関するリスクへの対応を考えるときは、用語の印象だけで判断せず、何を目的に、どの対象へ、どの段階で働きかける方法なのかを整理して、設問の条件との対応関係を確認しましょう。

この問題で問われていること

一つの観点として、各対応方法が目指す結果と、働きかける対象・時点の組み合わせに注目してください。名称や断片的な説明ではなく、設問に示された状況との結び付きを丁寧に比較します。

視点

対応の名称を先に当てはめるのではなく、目的・対象・実施される段階という枠組みで情報を整理し、設問の状況とどのように関係するかを確認します。

確認ポイント

• 対応の目的を短く言い換えて整理する
• 働きかけの対象が何かを確認する
• 実施される段階や状況との関係を見る

正解

エ

解説

リスク回避とは、リスクの原因となる活動を中止または廃止し、そのリスク自体を発生させないようにする対応です。取得済み情報の消去と新規取得の禁止は、この考え方に該当する。

理由

個人情報を取得・保有する活動を続けると、管理上の対策を講じても漏えいリスクが残る。取得済みの個人情報を消去し、新たな取得も禁止することは、その原因となる情報の保有・取得自体をなくすため、リスク回避に該当する。

比較

対策を行わないのはリスク受容、入退室管理を厳重にするのは発生可能性を下げるリスク低減に当たる。外部データセンタで保管するという記述だけでは、管理責任やリスクの移転まで確認できず、回避とは判断できない。

選択肢ア

これは不正解だよ。個人情報の重要性と対策費用を比較した上で、あえて対策をとらないのは、漏えいリスクを許容して現状の活動を続ける対応である。リスクの原因となる個人情報の取得や保有をなくしているわけではないため、リスク回避には該当しない。

選択肢イ

これは不正解だよ。入退室をより厳重に管理することは、保管場所への不正侵入を防ぎ、漏えいの発生可能性を下げるための対策である。個人情報の保管や取得そのものをやめる内容ではないので、リスクを回避する対応ではなく、リスク低減に当たる。

選択肢ウ

これは不正解だよ。個人情報を含む情報資産を外部のデータセンタで保管することは、保管場所を変更する対応を示しているにとどまる。外部に保管するだけでリスクの原因がなくなるとはいえず、管理責任などが移るとも問題文から確認できないため、リスク回避とは判断できない。

選択肢エ（正解）

これは正解だよ。取得済みの個人情報を消去し、今後の取得も禁止することは、漏えいの対象となる個人情報を保有・取得する活動自体をなくす対応である。リスクの発生可能性を下げるのではなく、原因となる活動を中止してリスクを回避している。

学習のポイント

リスク受容・低減・移転・回避の違いを、対策の目的と対象から整理する。