対応策の選定とリスク対応計画
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目2 情報セキュリティリスクアセスメント及びリスク対応：『2-2 リスク対応策の検討』『2-3 リスク対応計画の策定』
事例
A 社は、従業員 300 名の旅行会社である。企画部（35 名）は、個人旅行の予約サイトを運営している。予約サイトには、顧客の氏名、連絡先、旅行の日程が登録される。今年は予約サイトの改修があり、企画部ではテレワークで働く部員も増えた。
企画部の情報セキュリティ担当者（以下、担当者）は、先月のリスクアセスメントでリスク受容基準を超えた三つのリスクについて、対応策を選び、リスク対応計画をまとめることになった。A 社のリスク受容基準は、リスクレベルが「低」であることである。
A 社のリスク対応計画の作り方は、次のとおりである。
1．対応策は、リスクごとに、費用が 200 万円以下の候補から選ぶ。そのうち、実施後のリスクレベルが「低」になる候補があれば、その中で費用が最も小さい候補を選ぶ。「低」になる候補がなければ、実施後のリスクレベルが最も低くなる候補を選び、それが複数あれば費用が最も小さい候補を選ぶ。
2．計画には、実施項目、責任者、完了予定時期、実施結果の評価方法、残留リスクのリスクレベルと、その受入れの承認者を書く。
3．残留リスクのリスクレベルが「低」のときは企画部長が、「中」以上のときは情報セキュリティ委員会が、受入れを承認する。
担当者が集めた対応策の候補を表1に示す。実施後のリスクレベルは、情報システム部の C 主任と見積もった。
| リスク（現在のリスクレベル） | 候補 | 対応策 | 費用 | 実施後のリスクレベル |
|---|---|---|---|---|
| R1 予約サイトの管理画面への不正ログインによる顧客情報の漏えい（高） | 1-1 | 管理画面のログインに多要素認証を導入する | 120 万円 | 低 |
| R1 | 1-2 | 管理画面に接続できる場所を社内ネットワークだけに限る | 40 万円 | 中 |
| R1 | 1-3 | Web アプリケーションファイアウォールを導入し、常時の監視を外部に委託する | 180 万円 | 低 |
| R2 テレワーク中に印刷した顧客名簿の紛失（中） | 2-1 | テレワーク用の PC から印刷できないように設定する | 20 万円 | 低 |
| R2 | 2-2 | 印刷した名簿の扱いについて研修を行う | 10 万円 | 中 |
| R3 予約サイトの停止による予約の受付不能（高） | 3-1 | 予約サイトを 2 か所のデータセンターで冗長化する | 900 万円 | 低 |
| R3 | 3-2 | 停止時に電話で予約を受け付ける代替手順を作り、訓練する | 60 万円 | 中 |
| R3 | 3-3 | 停止を検知して担当者に通知する監視を導入する | 30 万円 | 高 |
担当者は、表1から対応策を選び、表2の計画の案を作った。
| リスク | 実施項目 | 責任者 | 完了予定時期 | 実施結果の評価方法 | 残留リスク | 受入れの承認者 |
|---|---|---|---|---|---|---|
| R1 | a1 | 情報システム部 C 主任 | 12 月末 | 管理画面のログインの記録を毎月確認する | 低 | 企画部長 |
| R2 | 候補 2-1 | 情報システム部 C 主任 | 11 月末 | 印刷の操作の記録がないことを毎月確認する | 低 | 企画部長 |
| R3 | a2 | 企画部 D 課長 | 翌年 2 月末 | 半年に 1 回の訓練で、受付の再開までの時間を測る | 中 | a3 |
表2中の a1〜a3 に入れる、対応策と承認者の組合せとして適切なものを、解答群の中から選べ。
正解：カ a1：候補 1-1／a2：候補 3-2／a3：情報セキュリティ委員会
ポイント
費用と実施後のリスクレベルから対応策を選び、残留リスクの受入れをだれが承認するかを、リスク対応計画に書く事例です。
考え方と解き方
決め手は、本文の作り方の1（費用の上限と、選ぶ順）と3（残留リスクの承認者）です。いちばん効果の大きい候補や、いちばん安い候補を選んでしまう点と、計画の責任者と残留リスクの承認者を取りちがえる点で間違えやすいです。
- a1：R1 の候補は全て 200 万円以下です。実施後に「低」になるのは 1-1（120 万円）と 1-3（180 万円）で、その中で費用が最も小さいのは 1-1 です。
- a2：R3 の 3-1 は 900 万円で、200 万円を超えるので候補から外れます。残る 3-2（中）と 3-3（高）には「低」になるものがないので、実施後のリスクレベルが最も低い 3-2 を選びます。
- a3：R3 の残留リスクは「中」です。作り方の3より、「中」以上の受入れは情報セキュリティ委員会が承認します。
- したがって、a1：候補 1-1、a2：候補 3-2、a3：情報セキュリティ委員会の カ です。
ほかの選択肢
- ア a1 が誤りです。1-3 も「低」になりますが、「低」になる候補の中では費用が小さい 1-1 を選びます。a3 も誤りです。残留リスクが「中」なので、企画部長ではなく情報セキュリティ委員会が承認します。
- イ a1 が誤りです。1-2 は費用が最も小さいものの、実施後が「中」で、「低」になる候補（1-1）があるので選びません。a2 も誤りです。3-1 は費用が 200 万円を超えるので候補になりません。
- ウ a1 が誤りです。「低」になる候補の中では、1-3 より費用が小さい 1-1 を選びます。a2 も誤りです。3-3 は費用が最も小さいものの実施後が「高」で、「中」になる 3-2 を選びます。a3 も誤りです。残留リスクが「中」なので、情報セキュリティ委員会が承認します。
- エ a1 が誤りです。「低」になる候補の中では、費用が小さい 1-1 を選びます。a2 も誤りです。3-1 は実施後が「低」ですが、費用が 200 万円を超えるので候補になりません。
- オ a3 が誤りです。残留リスクが「中」なので、企画部長ではなく情報セキュリティ委員会が承認します。
- キ a1 が誤りです。「低」になる候補（1-1）があるので、実施後が「中」の 1-2 は選びません。a2 も誤りです。実施後が「高」の 3-3 ではなく、「中」になる 3-2 を選びます。a3 も誤りです。残留リスクが「中」なので、情報セキュリティ委員会が承認します。
- ク a1 が誤りです。「低」になる候補の中では、費用が小さい 1-1 を選びます。a3 も誤りです。D 課長は計画の責任者で、残留リスクの受入れを承認する者ではありません。「中」なので情報セキュリティ委員会が承認します。
覚えておくこと
- 対応策は、費用の上限を守ったうえで、リスクを受容基準以下にできる候補の中から選ぶ。できなければ、最も下げられる候補を選び、残りを残留リスクとして計画に書く
- リスク対応計画には、実施項目・責任者・完了予定時期・評価方法・残留リスクを書き、残留リスクの受入れは決められた承認者が承認する