平成30年度 秋期 午前Ⅱ 問25

✓ これが正解エ取得済みの個人情報を消去し，新たな取得を禁止する。

解説

個人情報を消去し新たな取得を禁じ、リスクの源をなくすのがリスク回避です。

リスク対応には、リスクの原因となる活動そのものをやめるリスク回避、発生の可能性や影響を小さくするリスク低減、保険や外部委託などで他者とリスクを分け合うリスク移転（共有）、対策をとらずに受け入れるリスク保有（受容）があります。個人情報の漏えいリスクに対して、取得済みの個人情報を消去し、新たな取得も禁止すれば、漏えいする個人情報そのものがなくなります。リスクの源を取り除いて、リスクが生じる状況から抜け出しているので、リスク回避に当たります。見分ける軸は、リスクの原因をなくすのか、小さくするのか、他者に分けるのか、そのまま抱えるのかです。四つの対応を動詞で区別して覚えると判断しやすくなります。

ほかの選択肢はなぜ違うのか

• ア個人情報の重要性と対策費用を勘案し，あえ…：個人情報の重要性と対策費用を比べたうえで、あえて対策をとらないのは、リスクを承知で受け入れるリスク保有（受容）です。個人情報を持ち続けているので、リスクの源はなくなっていません。
• イ個人情報の保管場所に外部の者が侵入できな…：入退室の管理を厳しくして外部の者が保管場所に入れないようにするのは、漏えいの起こりやすさを下げる対策で、リスク低減に当たります。個人情報自体は保有し続けるのでリスク回避ではありません。
• ウ個人情報を含む情報資産を外部のデータセン…：個人情報を含む情報資産を外部のデータセンタに預けて保管するのは、保管の管理を外部と分担する対応で、リスク移転（共有）の考え方に当たります。個人情報を持つこと自体はやめていません。