問題 No.4366
情報セキュリティリスクアセスメントの結果に基づき、特定されたリスクに対してリスク移転を選択する場合の適切な対応として、最もどれか。
【正解の解説】
リスクの影響や損害を第三者に負担してもらうために、サイバー保険への加入や外部委託契約による補償を取り決める。
これは日常生活で例えると自動車保険に入るようなものです。自分一人では補いきれない大きな事故の損害を保険会社に引き受けてもらうように、企業もサイバー保険や外部委託を活用して、万が一の金銭的リスクを肩代わりしてもらう賢い回避策なのです。
スポンサーリンク
【その他の選択肢の解説】
リスクの発生確率や頻度を許容可能な水準まで低下させるために、セキュリティパッチの適用やアクセス制御の見直しを実施する。
サイバー攻撃の被害を他人に押し付けるのではなく、セキュリティパッチの適用やパスワード強化などによって、そもそも事故が起きないように努力して対策するアプローチであり、リスク移転とは全く異なる手法です。
リスクの存在自体を完全に許容し、万が一インシデントが発生した場合の損失額を自社の内部留保金からすべて補填できるように備える。
第三者に損害を肩代わりしてもらうのではなく、万が一インシデントが発生した際に自社の貯金や内部留保で損害をすべてカバーしようとする考え方です。外部の力を借りずに自分たちで痛みに耐える選択なのでリスク移転ではありません。
リスクの原因となる脆弱性や脅威を完全になくすために、該当する情報資産の運用を直ちに停止しネットワークから切り離す。
サイバー保険などで他者にリスクを移すのではなく、危険なシステムや業務そのものを停止させてリスクの芽を完全に摘み取る手法です。ビジネスチャンスも同時に失うリスクがあるため、他者へ責任をスライドさせるリスク移転とは別物です。