ITパスポート試験 - 令和3年 - 問99

情報セキュリティのリスクマネジメントにおいて，リスク移転，リスク回避，リスク低減，リスク保有などが分類に用いられることがある。これらに関する記述として，適切なものはどれか。

ア	リスク対応において，リスクへの対応策を分類したものであり，リスクの顕在化に備えて保険を掛けることは，リスク移転に分類される。
イ	リスク特定において，保有資産の使用目的を分類したものであり，マルウェア対策ソフトのような情報セキュリティ対策で使用される資産は，リスク低減に分類される。
ウ	リスク評価において，リスクの評価方法を分類したものであり，管理対象の資産がもつリスクについて，それを回避することが可能かどうかで評価することは，リスク回避に分類される。
エ	リスク分析において，リスクの分析手法を分類したものであり，管理対象の資産がもつ脆ぜい弱性を客観的な数値で表す手法は，リスク保有に分類される。

◀ 問98　|　▲ 令和3年問題一覧　|　問100 ▶

答え：ア
分野：テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説：
「ア」… 正解。保険はリスクが顕在化したときに損失の補填を受ける契約であり，リスク移転(またはリスク共有)にあたります。

「イ」… 不適切。これらはリスク対応の分類であって，保有資産の使用目的の分類ではありません。

「ウ」… 不適切。これらはリスク対応の分類であって，評価方法の分類ではありません。

「エ」… 不適切。これらはリスク対応の分類であって，分析手法の分類ではありません。