令和3年度 ITパスポート 問99（テクノロジ）
出典：令和3年度 ITパスポート試験 公開問題 問99（独立行政法人情報処理推進機構（IPA））
情報セキュリティのリスクマネジメントにおいて，リスク移転，リスク回避，リスク低減，リスク保有などが分類に用いられることがある。これらに関する記述として，適切なものはどれか。
- アリスク対応において，リスクへの対応策を分類したものであり，リスクの顕在化に備えて保険を掛けることは，リスク移転に分類される。
- イリスク特定において，保有資産の使用目的を分類したものであり，マルウェア対策ソフトのような情報セキュリティ対策で使用される資産は，リスク低減に分類される。
- ウリスク評価において，リスクの評価方法を分類したものであり，管理対象の資産がもつリスクについて，それを回避することが可能かどうかで評価することは，リスク回避に分類される。
- エリスク分析において，リスクの分析手法を分類したものであり，管理対象の資産がもつ脆弱性を客観的な数値で表す手法は，リスク保有に分類される。
正解と解説を見る
正解：ア
【リスク対応の分類】
リスク移転、リスク回避、リスク低減、リスク保有は、リスクアセスメントの結果を受けて、リスクにどう対応するかを分類したものです。
・リスク移転：保険を掛けたり、業務を外部に委託したりして、リスクによる損失を他者に移す
・リスク回避：リスクの原因となる活動そのものをやめる
・リスク低減：対策を講じて、リスクが起きる可能性や影響を小さくする
・リスク保有：リスクが小さい場合などに、対策をとらずにそのまま受け入れる
【選択肢の検討】
ア：リスク対応において、対応策を分類したもので、保険を掛けることはリスク移転に分類されるので、適切です。
イ：この分類は、保有資産の使用目的を分類したものではありません。
ウ：この分類は、リスクの評価方法を分類したものではありません。
エ：この分類は、リスクの分析手法を分類したものではありません。
よって、正解は選択肢アです。