リスクレベルとリスク対応の区分
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目2 情報セキュリティリスクアセスメント及びリスク対応：『2-1 リスクの特定・分析・評価』『2-2 リスク対応策の検討』
事例
A 社は、従業員 120 名の建築資材の商社である。営業部（25 名）の情報セキュリティ担当者（以下、担当者）は、年に一度のリスクアセスメントを行うことになった。営業部員は、取引先の担当者名と連絡先を入れたノート PC を客先に持ち出して商談する。見積資料は、取引先とクラウドの共有フォルダーで共有している。また、来月の資材展示会に出展し、来場者に紙のアンケート（氏名と連絡先を記入）を書いてもらう計画がある。
A 社のリスクアセスメントの手順は次のとおりである。
・被害の大きさ（大、中、小）と起こりやすさ（高、中、低）から、表1でリスクレベル（高、中、低）を決める。
・リスクレベルが「低」のリスクは受容し、追加の対策はしない。「中」「高」のリスクは、低減、回避、移転、保有のどれにするかを決め、表2に書く。
・リスク対応の区分は、低減（起こりやすさや被害を小さくする）、回避（原因となる業務や行為をやめる）、移転（損失の負担を他者に移す）、保有（そのまま受け入れる）とする。
| 被害の大きさ＼起こりやすさ | 高 | 中 | 低 |
|---|---|---|---|
| 大 | 高 | 高 | 中 |
| 中 | 高 | 中 | 低 |
| 小 | 中 | 低 | 低 |
担当者は、リスクを洗い出して評価し、対応を決め、結果を表2にまとめた。
| 項番 | リスク | 被害の大きさ | 起こりやすさ | リスクレベル | 決めた対応 | 対応の区分 |
|---|---|---|---|---|---|---|
| 1 | ノート PC の紛失・盗難による取引先情報の漏えい | 大 | 中 | 高 | 持出し用 PC のディスクを暗号化し、持出しを上長の承認制にする | 低減 |
| 2 | 共有フォルダーの公開範囲の設定誤りによる見積資料の漏えい | 大 | 低 | a1 | 漏えいした場合の賠償や調査の費用を補償する保険に加入する | a2 |
| 3 | 展示会の紙のアンケートの紛失による来場者の個人情報の漏えい | 中 | 高 | 高 | 紙のアンケートでの個人情報の収集をやめ、来場者に連絡先を書いてもらわない | a3 |
| 4 | 会議室のホワイトボードの書き込みが来客に見える | 小 | 中 | 低 | 追加の対策はしない | 保有 |
担当者は、表2を営業部長に報告し、承認を得た。
表2中の a1〜a3 に入れる字句の適切な組合せを、解答群の中から選べ。
正解：イ a1：中／a2：移転／a3：回避
ポイント
リスクレベルを決め、受容基準と比べて、リスク対応の区分を判断する事例です。
考え方と解き方
決め手は、表1の早見表、受容基準の手順、低減・回避・移転・保有の説明、表2の「決めた対応」です。被害の大きさと起こりやすさの両方を表1で見ること、対応の文が何をしているかを区分の説明に当てることが要点です。
- 項番2は、被害の大きさが「大」、起こりやすさが「低」です。表1で「大」の行と「低」の列が交わる所は「中」なので、a1は中です。「中」は受容しないので、対応が必要です。
- 項番2の対応は保険に加入することで、賠償や調査の費用の負担を保険会社に移します。説明の「損失の負担を他者に移す」に当たるので、a2は移転です。
- 項番3の対応は、個人情報の収集をやめることです。説明の「原因となる業務や行為をやめる」に当たるので、a3は回避です。
- したがって、a1：中、a2：移転、a3：回避の イ です。
ほかの選択肢
- ア a1が誤りです。被害の大きさ「大」だけで決めています。起こりやすさが「低」なので、表1では「中」です。a3が誤りです。アンケートでの収集そのものをやめるので、低減ではなく回避です。
- ウ a1が誤りです。起こりやすさ「低」だけで決めています。被害の大きさが「大」なので、表1では「中」です。a2が誤りです。保険は、起こりやすさや被害を小さくせず、費用の負担を保険会社に移すので、移転です。a3が誤りです。収集をやめるのは原因となる行為をやめることなので、移転ではなく回避です。
- エ a2が誤りです。保険は、起こりやすさや被害を小さくせず、費用の負担を保険会社に移すので、移転です。a3が誤りです。収集をやめるという対応を決めており、そのまま受け入れる保有ではなく回避です。
- オ a1が誤りです。被害の大きさ「大」だけで決めています。起こりやすさが「低」なので、表1では「中」です。a2が誤りです。保険に加入して費用の負担を保険会社に移しているので、そのまま受け入れる保有ではなく移転です。
- カ a1が誤りです。起こりやすさ「低」だけで決めています。被害の大きさが「大」なので、表1では「中」です。a2が誤りです。保険に加入して費用の負担を保険会社に移しているので、そのまま受け入れる保有ではなく移転です。a3が誤りです。収集をやめるのは原因となる行為をやめることなので、移転ではなく回避です。
- キ a2が誤りです。業務や行為をやめていません。費用の負担を保険会社に移すので、移転です。a3が誤りです。アンケートでの収集そのものをやめるので、低減ではなく回避です。
- ク a1が誤りです。被害の大きさ「大」だけで決めています。起こりやすさが「低」なので、表1では「中」です。a2が誤りです。保険は、起こりやすさや被害を小さくせず、費用の負担を保険会社に移すので、移転です。a3が誤りです。収集をやめるという対応を決めており、そのまま受け入れる保有ではなく回避です。
- ケ a1が誤りです。起こりやすさ「低」だけで決めています。被害の大きさが「大」なので、表1では「中」です。a2が誤りです。業務や行為をやめていません。費用の負担を保険会社に移すので、移転です。a3が誤りです。収集をやめるのは原因となる行為をやめることなので、移転ではなく回避です。
- コ a1が誤りです。被害の大きさ「大」だけで決めています。起こりやすさが「低」なので、表1では「中」です。a2が誤りです。保険に加入して費用の負担を保険会社に移しているので、そのまま受け入れる保有ではなく移転です。a3が誤りです。アンケートでの収集そのものをやめるので、低減ではなく回避です。
覚えておくこと
- リスクレベルは、被害の大きさと起こりやすさの両方から決める。片方だけで決めない
- リスク対応は、小さくするなら低減、やめるなら回避、負担を他者に移すなら移転、そのまま受け入れるなら保有