リスク対応（低減・回避・移転・受容）とは？

リスク対応（低減・回避・移転・受容）の意味

リスクアセスメントの結果に基づき、リスクにどう対処するかを選択すること。対策を講じて発生可能性や影響を下げる「低減」、原因そのものをなくす「回避」、保険や外部委託でリスクを移す「移転」、対策せずそのまま受け入れる「受容」の4種類に大別される。

リスク対応（低減・回避・移転・受容）の具体例

サーバーの二重化は低減、危険な機能自体を廃止するのは回避、サイバー保険への加入は移転、影響が軽微なリスクをそのまま放置するのは受容にあたる。

リスク対応（低減・回避・移転・受容）は試験でどう引っ掛けられる？

「移転」は責任そのものを完全になくすことではなく、損失の一部を第三者と分担する対応であり、リスクが消滅するわけではない点に注意。

リスク対応（低減・回避・移転・受容）と関連する用語

• 残留リスク
• リスク所有者

リスク対応（低減・回避・移転・受容）が出た過去問

• リスクの顕在化に備えて地震保険に加入するという対応は、JIS Q 31000:2010に示されているリスク対応のうち、どれに分類されるか。

  正解：一つ以上の他者とそのリスクを共有する。

  要点：保険加入は損失負担を他者と分けるリスク共有

  JIS Q 31000のリスク対応には、回避・リスクテイク・リスク源の除去・起こりやすさの変更・結果の変更・リスクの共有・リスクの保有といった選択肢がある。保険への加入は、損失の財務的負担を保険会社という他者に肩代わりさせる行為なので「リスクの共有」（従来のリスク移転）に当たる。なお保険をかけても事象そのものの発生確率は変わらない点に注意したい。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問2（IPA）

• JIS Q 31000:2010における残留リスクの定義はどれか。

  正解：リスク対応後に残るリスク

  要点：残留リスクは対策後も残り、受容には承認が要る

  残留リスクとは、リスク対応を実施した後になお残っているリスクを指す。対策を打っても発生確率や影響をゼロにできることはまれで、費用対効果の観点から一定の残留リスクは受容するのが通例である。ただし受容にあたっては、そのリスクを認識し、責任者が承認するという手続きが求められる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）

• JIS Q 27001において、リスクを受容するプロセスに求められるものはどれか。

  正解：受容するリスクについては、リスク所有者が承認すること

  要点：残留リスクの受容にはリスク所有者の承認が必要

  JIS Q 27001では、リスク対応の結果として残った残留リスクをリスク所有者が承認することを求めている。リスクを受け入れるという判断は組織としての意思決定であり、その責任を負うリスク所有者の承認が必須となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）

• a〜dのうち，リスクアセスメントプロセスのリスク特定において特定する対象だけを全て挙げたものはどれか。〔特定する対象〕 a リスク対応に掛かる費用 b リスクに…

  正解：b, c, d

  要点：リスク特定ではリスク源・事象・原因と結果を洗い出す

  リスク特定は、リスクを発見し認識して記述する段階であり、リスク源、起こり得る事象、その原因と結果を洗い出す。対応に掛かる費用は、その後のリスク対応の段階で検討するものであり、特定の対象には含まれない。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問5（IPA）

• リスク対応のうち，リスクファイナンシングに該当するものはどれか。

  正解：リスクによってシステムが被害を受けた場合を想定して保険を掛ける。

  要点：リスクファイナンシングは保険など損失の資金手当てを行う対応

  リスクファイナンシングは、損失が発生したときの資金を手当てする対応であり、保険加入や引当金の準備がこれに当たる。これに対し、発生確率や影響そのものを下げる対策はリスクコントロールと呼ばれ、区別される。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問6（IPA）