ITパスポート 令和元年度 秋期 特別措置試験 問86

✓ これが正解エ ノートPCの紛失，盗難による情報漏えいに備えて，ノートPCのHDDに保存する情報を暗号化する。

解説

暗号化して漏れる被害を小さくするのが、低減にあたる例です。

リスクマネジメントでは、見立てを終えた後の手当てを四つに分けて考えます。起こる見込みや、起きたときの被害そのものを小さくするのが低減です。持ち出しやすいノートPCのHDDをあらかじめ暗号化しておけば、なくしたり盗まれたりしても、中身を読み取られる見込みをぐっと下げられます。機器が手を離れるという出来事自体は防げませんが、そこから情報が漏れるという被害は薄められます。これがまさに低減の形です。残りの三つも押さえておきます。危ない仕事そのものをやめるのが回避、保険などで損を他へ肩代わりさせるのがリスク移転、小さいと見て手を打たずに引き受けるのが受容です。どれを選ぶかは、起きたときの被害の大きさと、かけられる費用を見比べて決めます。よって最も適切なのは、HDDに保存する情報を暗号化する例です。

ほかの選択肢の解説

• ア インターネット上で，特定利用者に対して，機密に属する情報の提供サービスを行っていたが，情報漏えいのリスクを考慮して，そのサービスから撤退する。：情報漏えいを恐れてサービスから撤退する例は、回避にあたります。危ない仕事そのものをやめてしまうので、危険は根本からなくなりますが、そこから得られたはずの利益も同時に失います。被害を小さくするのではなく、種ごと手放す形です。
• イ 個人情報が漏えいした場合に備えて，保険に加入する。：漏えいに備えて保険に入る例は、リスク移転にあたります。起きる見込みも被害の大きさも変わりませんが、損を金銭の面で他へ肩代わりさせられます。漏れにくくする手当てそのものは何もしていないので、低減とは働きが違います。
• ウ サーバ室には限られた管理者しか入室できず，機器盗難のリスクは低いので，追加の対策は行わない。：管理者しか入れないので追加の対策をしない例は、受容にあたります。起きる危険が小さいと見積もったうえで、あえてそのまま引き受けるという判断です。何もしないことを選ぶ形なので、被害を小さくする手当てとは方向が異なります。