平成30年度 春期 情報セキュリティマネジメント試験 午前 問2
テクノロジ／セキュリティリスク対応のうち，リスクの回避に該当するものはどれか。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問2
- アリスクが顕在化する可能性を低減するために，情報システムのハードウェア構成を冗長化する。
- イリスクの顕在化に伴う被害からの復旧に掛かる費用を算定し，保険を掛ける。
- ウリスクレベルが大きいと評価した情報システムを用いるサービスの提供をやめる。
- エリスクレベルが小さいので特別な対応をとらないという意思決定をする。
正解：ウ
解説
リスクの回避とは、リスクの原因となる要因を取り除く、又はリスクが生じる活動自体を行わないようにすることで、リスクが顕在化する可能性を完全になくす対応です。サービス提供の中止はその典型例です。
選択肢ごとの解説
- ア誤り。ハードウェアの冗長化はリスクの発生可能性を下げる対策で，リスク低減に該当します。
- イ誤り。保険を掛けて損失に備えるのはリスク移転（リスク共有）に該当します。
- ウ正しい。リスクレベルが大きい情報システムを用いるサービスの提供自体をやめることはリスクの回避に該当します。
- エ誤り。特別な対応をとらないという意思決定はリスクの保有（受容）に該当します。