リスク対応とは？リスクへの対処方法を整理【SG試験】

まず結論

リスク対応は、見つかった危険に対して「どう動くか」を決める段階です。

例えば、会社の重要なシステムに被害が出る可能性があると分かった場合、次のような対応が考えられます。

つまり、リスク対応は「全部をなくす」ことではありません。

リスクの大きさ、発生可能性、情報資産の重要度、費用などを見ながら、現実的にどの対応を選ぶかを決める考え方です。

リスク対応は、リスクアセスメントの結果をもとに、リスクへの対処方法を選ぶ活動です。

情報セキュリティでは、リスクを分析・評価したあとに、許容できないリスクへ対策を講じます。IPAの情報セキュリティマネジメント試験でも、リスクマネジメントや情報セキュリティ対策の考え方が出題範囲として示されています。詳しくは、IPAの情報セキュリティマネジメント試験出題範囲も参考になります。

リスク対応は、代表的に次のように整理できます。

ここで特に混同しやすいのが、リスクコントロールとリスクファイナンスです。

例えば、「脆弱性を修正する」「アクセス権を見直す」はリスクコントロールです。一方で、「保険を掛ける」「損害対応のための資金を確保する」はリスクファイナンスです。

リスク対応は、情報資産に対するリスクを評価したあとに使います。

例えば、次のような場面です。

SG試験では、問題文に「リスク評価の結果」「顕在化した場合の損失」「発生可能性」「対策費用」などが出てきたら、リスク対応の判断を問われている可能性があります。

選択肢では、次の表現に注意します。

大切なのは、「お金を使っているから低減」と考えないことです。

お金を使っていても、被害そのものを小さくする設備投資ならリスク低減です。一方で、被害が起きた後の損失補てんに備えるならリスクファイナンスです。

保険は、リスクの発生可能性を下げるわけではありません。

システム障害や情報漏えいが起きる可能性そのものを減らすのではなく、起きた後の損失に備えるものです。

そのため、SG試験では保険、補償、資金確保と書かれていたら、リスクファイナンスを疑います。

リスク受容は、リスクを無視することではありません。

リスクの大きさや発生可能性、対策費用を確認したうえで、許容できると判断して受け入れることです。

つまり、評価したうえで受け入れるのがリスク受容です。何も考えずに放置することとは違います。

外部委託は、リスクの一部を移転する考え方に近い場合があります。

ただし、委託したからといって、委託元の責任がすべて消えるわけではありません。

SG試験では、委託先管理、契約、SLA、監査、教育などと合わせて、委託元が管理責任を持つかどうかを問われることがあります。

リスク対応には、技術的対策だけでなく、人的対策、組織的対策、契約、保険、予算確保なども含まれます。

選択肢では「対策＝システム設定」と決めつけず、何に対して、どのリスクを、どう扱っているかを見ることが大切です。