情報セキュリティマネジメント 平成31年度 春期 午前 問5

✓ これが正解ア システムが被害を受けるリスクを想定して，保険を掛ける。

解説

保険を掛けて損失に備えるのはリスクファイナンシングです。

リスク対応は、リスクの発生や影響そのものを抑えるリスクコントロールと、リスクが現実になったときの損失を金銭面で手当てするリスクファイナンシングに大別できます。システムが被害を受けるリスクを想定して保険を掛けることは、被害そのものを減らすのではなく、被害が出たときの損失を保険金で埋め合わせる備えなので、リスクファイナンシングの典型です。損失の負担を保険会社へ移すという意味で、リスク移転の形にも当たります。残りの三つは、いずれもリスクの発生や被害の大きさを抑える対策に資金を使う話であり、リスクコントロールの側です。

ほかの選択肢の解説

• イ システムの被害につながるリスクの顕在化を抑える対策に資金を投入する。：リスクの顕在化を抑える対策への資金投入は、発生そのものを減らすリスクコントロールです。起きたときの損失を金銭で埋め合わせる備えではありません。
• ウ リスクが大きいと評価されたシステムを廃止し，新たなセキュアなシステムの構築に資金を投入する。：リスクが大きいシステムを廃止して新しいセキュアなシステムに置き換えるのは、リスクの原因を断つリスク回避に当たる対応です。損失の金銭的な手当てではありません。
• エ リスクが顕在化した場合のシステムの被害を小さくする設備に資金を投入する。：被害を小さくする設備への資金投入は、影響の低減を狙うリスクコントロールです。損失が出たときに資金面で補う備えとは性格が異なります。