令和7年度 ITパスポート 問91（テクノロジ）
出典：令和7年度 ITパスポート試験 公開問題 問91（独立行政法人情報処理推進機構（IPA））
情報セキュリティのリスクマネジメントにおけるリスク対応を，リスク移転，リスク回避，リスク低減及びリスク保有の四つに分けて実施することにしたとき，これらに関する記述として，適切なものはどれか。
- アリスク対応の実施手順であり，リスク回避，リスク移転，リスク低減，リスク保有の順番で進める。
- イリスク対応の実施手順であり，リスク保有，リスク低減，リスク移転，リスク回避の順番で進める。
- ウリスク対応の選択肢であり，管理対象としたリスクの顕在化に備えて保険を掛けておくことは，リスク回避に該当する。
- エリスク対応の選択肢であり，ノートPCの紛失や盗難に備えて社外への持出しをより厳重に管理することは，リスク低減に該当する。
正解と解説を見る
正解：エ
【リスク対応の4つの選択肢】
情報セキュリティのリスク対応には、次の4つの選択肢があります。リスクの大きさや対策の費用に応じて、リスクごとに適したものを選びます。決まった順番に実施する手順ではありません。
・リスク回避：リスクの原因となる活動そのものをやめる（例：危険な業務を廃止する）
・リスク低減：対策によって、リスクが起きる可能性や、起きたときの影響を小さくする（例：持出しの管理を厳しくする、データを暗号化する）
・リスク移転：リスクを他社などに移す（例：保険を掛ける、業務を外部に委託する）
・リスク保有：リスクが小さい場合などに、対策をとらずにそのまま受け入れる
【選択肢の検討】
ア：リスク対応の4つは、リスクに応じて選ぶ選択肢で、決まった順番に進める手順ではありません。
イ：アと同じく、決まった順番に進める手順ではありません。
ウ：保険を掛けて、損失を保険会社に負担してもらうのは、リスク移転です。
エ：持出しの管理を厳しくして、紛失や盗難が起きる可能性を小さくするのは、リスク低減です。適切です。
よって、正解は選択肢エです。