情報セキュリティのリスクマネジメントにおけるリスク対応を,リスクの移転,回避,受容及び低減の四つに分類するとき,リスクの低減の例として,適切なものはどれか。
- アインターネット上で,特定利用者に対して,機密に属する情報の提供サービスを行っていたが,情報漏えいのリスクを考慮して,そのサービスから撤退する。
- イ個人情報が漏えいした場合に備えて,保険に加入する。
- ウサーバ室には限られた管理者しか入室できず,機器盗難のリスクは低いので,追加の対策は行わない。
- エノートPCの紛失,盗難による情報漏えいに備えて,ノートPCのHDDに保存する情報を暗号化する。
正解と解説を見る
正解
エ ノートPCの紛失,盗難による情報漏えいに備えて,ノートPCのHDDに保存する情報を暗号化する。
リスクの低減とは，発生確率や被害の大きさを技術的・管理的対策によって小さくすることであり，ノートPCのHDDを暗号化して紛失・盗難時の情報漏えいの被害を抑える対策はこれに該当するため正解である。情報漏えいのリスクを理由にサービス自体から撤退するのは，リスクの原因を断ち切る「回避」の例である。保険への加入は，損害発生時の金銭的損失を第三者に移す「移転」の例である。追加対策を行わずリスクをそのまま許容するのは「受容」の例であり，いずれも「低減」には当たらない。