リスク対応とは？

リスク対応の意味

評価したリスクに対する処置の選択で、回避・低減（軽減）・移転（共有）・保有（受容）の4分類が基本。FEではそれぞれの具体例を選ばせる問題が頻出で、費用と残留リスクの関係も問われる。

リスク対応の具体例

危険なサービスを廃止するのが回避、暗号化や二重化で発生確率や影響を下げるのが低減、サイバー保険への加入や業務の外部委託が移転、影響が小さく対策費が上回るため何もしないと決めるのが保有。

リスク対応は試験でどう引っ掛けられる？

保険は「損害を金銭で補う」だけで事故自体は防げないため移転であり、回避ではない。また、対策後に残る残留リスクはゼロにならず、経営者が受容を判断する必要がある点も押さえる。

リスク対応と関連する用語

• リスクアセスメント
• 事業継続計画（BCP）
• 情報セキュリティポリシ

リスク対応が出た過去問

• リスクアセスメントを構成するプロセスの組合せはどれか。

  正解：リスク特定、リスク分析、リスク評価

  要点：リスクアセスメント＝リスク特定→リスク分析→リスク評価の3工程

  JIS Q 31000などの定義では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスから成る。まずどんなリスクがあるかを洗い出し、次に発生可能性と影響度からリスクの大きさを見積もり、最後に基準と照らして対応の要否や優先順位を判断する。リスク対応やリスク受容はアセスメントの後に続く別工程である。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問43（IPA）

• リスク対応のうち、リスクファイナンシングに該当するものはどれか。

  正解：システムが被害を受けるリスクを想定して、保険を掛ける。

  要点：保険など資金面の備えはリスクファイナンシング

  リスク対応は、損失そのものの発生や大きさを技術的・物理的に抑えるリスクコントロールと、損失が生じたときの資金面を手当てするリスクファイナンシングに大別される。保険を掛ける行為は、被害が起きた場合の金銭的な補填を用意するものなので後者に当たる。自己資金を積み立てておく方法も同じ分類である。

  出典：令和1年度 春期 基本情報技術者試験 午前 問40（IPA）