中小企業診断士 第1次試験 システム開発・プロジェクト管理・情報セキュリティ 練習問題 第13問: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版が示すリスク対応の区分（低減・保有・回避・移転）に照らして、対策の例とその区分に関する記述として、

「インターネットバンキングに使うパソコンを専用にし、メールやウェブ閲覧には使わないように改めることは、リスクの回避」が適切です。ガイドラインは対策を低減・保有・回避・移転に区分し、回避を、仕事のやりかたや情報システムの利用方法を変えて想定されるリスクそのものをなくすこととして、この専用パソコンの例と、発送後も保存していた住所や氏名を利用後すぐに消去する例を挙げています。

したがって「すぐに消去するように改める」は低減ではなく回避です。移転は、自社より有効な対策を行う、あるいは補償能力がある他社のサービスを使って自社の負担を下げることで、カード番号を非保持化して決済を外部の決済代行サービスに変える例、社内サーバーの業務システムを外部のクラウドサービスに移行する例、保険商品に加入する例が挙がっています。

「決済代行」を回避、「クラウドサービスへの切り替え」「保険商品への加入」を低減とする肢は誤りです。なお低減は、自社で実行できる対策を導入・強化して事故が起きる可能性を下げることです。

利用のしかたを変えてリスクのもとをなくすのが回避（専用パソコン・利用後すぐの消去）、決済代行・クラウドへの移行・保険のように他社のサービスで自社の負担を下げるのが移転と覚えます。