令和3年度 ITパスポート試験 問99
テクノロジ／セキュリティ情報セキュリティのリスクマネジメントにおいて，リスク移転，リスク回避，リスク低減，リスク保有などが分類に用いられることがある。これらに関する記述として，適切なものはどれか。
出典：令和3年度 ITパスポート試験 問99
- アリスク対応において，リスクへの対応策を分類したものであり，リスクの顕在化に備えて保険を掛けることは，リスク移転に分類される。
- イリスク特定において，保有資産の使用目的を分類したものであり，マルウェア対策ソフトのような情報セキュリティ対策で使用される資産は，リスク低減に分類される。
- ウリスク評価において，リスクの評価方法を分類したものであり，管理対象の資産がもつリスクについて，それを回避することが可能かどうかで評価することは，リスク回避に分類される。
- エリスク分析において，リスクの分析手法を分類したものであり，管理対象の資産がもつ脆弱性を客観的な数値で表す手法は，リスク保有に分類される。
正解：ア
解説
リスク移転，リスク回避，リスク低減，リスク保有は，リスクへの対応策（リスク対応）を分類したものです。保険を掛けて損失を他者に転嫁することは，リスク移転に当たります。イ～エは，いずれも分類の位置づけ（リスク特定・評価・分析の分類であるとしている点）が誤っています。
選択肢ごとの解説
- ア正しい。リスク対応策の分類であり，保険を掛けて損失を他者に負担してもらうことはリスク移転です。
- イ誤り。リスク移転などは，リスク特定における資産の使用目的の分類ではなく，リスク対応策の分類です。
- ウ誤り。リスク移転などは，リスク評価の評価方法の分類ではなく，リスク対応策の分類です。
- エ誤り。リスク移転などは，リスク分析の手法の分類ではなく，リスク対応策の分類です。また，脆弱性を数値で表す手法は，リスク保有（リスクを受容する対応）ではありません。