情報セキュリティマネジメント 平成30年度 春期 午前 問2

✓ これが正解ウ リスクレベルが大きいと評価した情報システムを用いるサービスの提供をやめる。

解説

危ないサービスの提供そのものをやめるのがリスク回避です。

リスク対応には向きの違ういくつかのやり方があり、リスク回避はその中で、リスクを生む活動そのものを行わないと決める対応です。起こりにくくするのでもなく、起きたときの損失を埋め合わせるのでもなく、リスクが生まれる元を手放してしまうところに特徴があります。リスクレベルが大きいと評価した情報システムを用いるサービスの提供をやめるという判断は、まさにその活動を取りやめる決定なので、リスク回避に当たります。ほかの三つは、いずれも活動を続けることを前提にして、発生を抑え込む、損失を金銭で手当てする、そのまま抱えると決める、という別の向きの対応です。

ほかの選択肢の解説

• ア リスクが顕在化する可能性を低減するために，情報システムのハードウェア構成を冗長化する。：ハードウェアの構成を冗長化して顕在化の可能性を下げる手当ては、事業を続けながら発生を抑え込むリスクコントロールの側にあります。活動そのものを取りやめる決定ではありません。
• イ リスクの顕在化に伴う被害からの復旧に掛かる費用を算定し，保険を掛ける。：復旧に掛かる費用を算定して保険を掛けるのは、損失が出たあとの金銭面の手当てで、リスクファイナンシングやリスク移転として整理されます。サービスは続ける前提の備えです。
• エ リスクレベルが小さいので特別な対応をとらないという意思決定をする。：小さいと判断して特別な手を打たないまま抱えると決めるのは、リスク保有あるいはリスク受容と呼ばれる対応です。活動をやめるという決断とは正反対の位置にあります。