ITパスポート試験 令和3年度 公開問題 問99

【正解】ア

リスク移転、リスク回避、リスク低減、リスク保有は、特定して評価したリスクにどのように対処するかを分類したものです。保険を掛けると、事故そのものの発生を防ぐことはできませんが、事故による金銭的損失の一部又は全部を保険会社に負担してもらえます。このように、損失の負担を契約などによって第三者へ移す対応をリスク移転といいます。したがって、アが適切です。

イの内容は誤りです。これらは保有資産の使用目的を分類したものではなく、リスク対応の方法を分類したものです。なお、マルウェア対策ソフトの導入によって感染の発生確率や被害を小さくすること自体は、リスク低減に該当します。

ウの内容は誤りです。これらはリスクの評価方法の分類ではありません。リスク回避とは、危険な業務を中止する、該当するシステムを利用しないなど、リスクの原因となる活動自体を行わない対応です。回避が可能かどうかを評価する行為そのものではありません。

エの内容は誤りです。脆弱性を数値で表すことは、リスクの分析や評価に用いる手法です。リスク保有とは、対策費用と想定損失などを比較した上で、追加の対策を行わず、そのリスクを受け入れる対応を指します。

【ポイント】 リスク回避は原因となる活動をやめ、リスク低減は発生確率や損失を小さくします。 リスク移転は保険や契約によって損失負担を第三者へ移します。 リスク保有はリスクを認識した上で受け入れることであり、放置とは異なります。