平成30年度 秋期 ITストラテジスト試験 午前Ⅱ 問25
テクノロジ／セキュリティ個人情報の漏えいリスクに関するリスク対応のうち，リスク回避に該当するものはどれか。
出典：平成30年度 秋期 ITストラテジスト試験 午前Ⅱ 問25
- ア個人情報の重要性と対策費用を勘案し，あえて対策をとらない。
- イ個人情報の保管場所に外部の者が侵入できないように，入退室をより厳重に管理する。
- ウ個人情報を含む情報資産を外部のデータセンタで保管する。
- エ取得済みの個人情報を消去し，新たな取得を禁止する。
正解：エ
解説
リスク対応には，リスクの発生源そのものをなくすことで影響を排除する「リスク回避」，発生確率や影響度を下げる「リスク低減」，第三者に移す「リスク移転」，あえて対策をとらず受け入れる「リスク保有（受容）」などがあります。取得済みの個人情報を消去し，新たな取得を禁止することは，個人情報の漏えいというリスクの発生源そのものをなくす対応であり，リスク回避に該当します。
選択肢ごとの解説
- ア誤り。個人情報の重要性と対策費用を勘案し，あえて対策をとらないことは，リスクをそのまま受け入れる「リスク保有（受容）」に該当します。
- イ誤り。入退室をより厳重に管理することは，漏えいの発生確率を下げる対応であり，「リスク低減」に該当します。
- ウ誤り。個人情報を含む情報資産を外部のデータセンタで保管することは，保管に伴うリスクの一部を外部の事業者に移す対応であり，「リスク移転」に該当します。
- エ正しい。取得済みの個人情報を消去し，新たな取得を禁止することは，漏えいのリスク要因そのものをなくす対応であり，「リスク回避」に該当します。