ITパスポート 令和3年度 問99

✓ これが正解ア リスク対応において，リスクへの対応策を分類したものであり，リスクの顕在化に備えて保険を掛けることは，リスク移転に分類される。

解説

保険を掛けるのは、リスク対応のうちのリスク移転にあたります。

リスク移転、リスク回避、リスク低減、リスク保有という四つは、リスク対応の段で、どのように手を打つかを分類したものです。移転は、保険を掛けたり、外部へ委託したりして、損失の負担を他へ移すやり方です。回避は、その活動そのものをやめて、危険の元を断つやり方です。低減は、対策を打って、起こりやすさや影響を小さくするやり方です。保有は、基準に照らして受け入れられる大きさだと判断し、そのまま抱えるやり方です。四つとも、洗い出す段や、見積もる段や、照らす段の分け方ではなく、評価を終えた後に選ぶ手の分け方です。設問にある、保険を掛けるという例は、負担を他へ移すものなので移転にあたります。どの段についての分け方かを先に見ると、残る三つは自然に落ちます。よって適切なのは、リスク対応の分類だとする記述です。

ほかの選択肢の解説

• イ リスク特定において，保有資産の使用目的を分類したものであり，マルウェア対策ソフトのような情報セキュリティ対策で使用される資産は，リスク低減に分類される。：四つをリスク特定の段の分け方だとしている点が外れます。特定は、どこにどんな危険があるかを洗い出す作業であり、持っている資産の使い道を分類するものではありません。手の打ち方の分け方です。段の名前も、分類の中身も食い違っています。
• ウ リスク評価において，リスクの評価方法を分類したものであり，管理対象の資産がもつリスクについて，それを回避することが可能かどうかで評価することは，リスク回避に分類される。：四つをリスク評価の段の分け方だとしている点が外れます。評価は、見積もった重さを基準と照らして、手を打つ必要があるかを決める作業です。避けられるかどうかで測るものではなく、分類の中身のほうも合っていません。段が一つ手前にずれています。
• エ リスク分析において，リスクの分析手法を分類したものであり，管理対象の資産がもつ脆弱性を客観的な数値で表す手法は，リスク保有に分類される。：四つをリスク分析の段の分け方だとしている点が外れます。分析は、起こりやすさと影響の大きさから重さを見積もる作業であり、数値で表す手法がリスク保有と呼ばれるわけでもありません。二重に食い違います。