脅威分析とセキュリティリスクアセスメント
リスク対応における「リスク低減」と「リスク移転」の違いに関する記述として、最も適切なものはどれか。
- Aリスク低減は対象となる業務そのものを中止することであり、リスク移転はリスクをそのまま受け入れることである
- Bリスク低減とリスク移転はいずれも、リスクの発生可能性をゼロにする対応である
- ✓リスク低減は発生可能性や影響度そのものを小さくする対策(暗号化やアクセス制御の導入など)を指し、リスク移転は保険への加入や外部委託などにより損失の負担を他者と分担・移転する対応を指す
- Dリスク移転を行った場合、移転先の他者に責任が生じるため、自組織はその後一切対応を行う必要がなくなる
解説
リスク低減は管理策の導入により発生可能性や影響度自体を小さくする対応であり、リスク移転は保険加入や外部委託等により損失の負担を他者と分け合う対応である。業務そのものを中止するのはリスク回避、受け入れるのはリスク保有にあたる。また移転しても自組織の説明責任は残る。
根拠シラバス 情報セキュリティリスクアセスメント及びリスク対応に関する知識（リスク対応の4分類＝低減・保有・回避・移転）