個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第17問: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、リスク値の大きい情報資産への対策を、リスクの低減・保有・回避・移転に区分して検討するとしている

正解: 1. インターネットバンキング専用のパソコンを設置し、メールやウェブ閲覧には使わないことは、リスクの回避の例とされている。

同ガイドライン第4.0版の資産ベースのリスク分析（手順3）は、リスクの回避を、仕事のやりかたや情報システムの利用方法を変えて想定されるリスクそのものをなくすことと説明し、インターネットバンキング専用のパソコンを設置してメールやウェブ閲覧に利用しない例と、発送完了後の発送先の個人情報を利用後すぐに消去する例を挙げています（1が正しい。3は低減ではなく回避の例）。クレジットカード番号の非保持化と外部の決済代行サービスへの変更、社内サーバーの業務システムの外部クラウドサービスへの移行は、自社よりも有効な対策を行っている他社のサービスを利用して自社の負担を下げるリスクの移転の例です（2・4）。リスクの低減は、自社で対策を導入・強化して脆弱性を改善し、事故が起きる可能性を下げることです。

根拠・参照資料: 独立行政法人情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン」第4.0版 第2部4（1）資産ベースのリスク分析 手順3

関連キーワード: 資産ベースのリスク分析・リスクの回避・リスクの移転・リスクの低減