問題 No.4546
情報セキュリティリスクへの対策として実施されるリスクファイナンシングに関する記述のうち、不適切なものはどれか。
【正解の解説】
リスクファイナンシングは、リスクが顕在化した際の影響をゼロにするためのセキュリティ技術的な脆弱性修正作業を指す。
リスクファイナンシングとは、万が一トラブルや事故が起きてしまったときに、その経済的ダメージを金銭的に補填するための備えを意味します。バグを直したりパスワードを厳重にしたりして事故の発生自体を防ぐ技術的対策とはまったく異なる概念であるため、この記述が不適切となります。
スポンサーリンク
【その他の選択肢の解説】
リスクファイナンシングは、リスクが顕在化した際の金銭的損失に備えて、サイバー保険や準備金などの金銭的補填手段を確保することを指す。
これはリスクファイナンシングの正しい定義そのものです。どれだけセキュリティを高めても事故を100パーセント防ぐことは不可能なため、起きてしまったときの金銭的な痛手を和らげるために、自動車保険のようにサイバー保険に入ったり予備のお金を積み立てたりして備えるアプローチを指します。
リスクファイナンシングは、組織が保有する情報資産の洗い出しを行い、それぞれの資産に対する重要度や脅威を評価する作業を指す。
組織にあるパソコンや書類などの資産をリストアップし、それぞれの価値や脅威を調べる作業はリスクアセスメントと呼ばれます。ファイナンシングとは財務や資金調達を意味する言葉であり、資産の重要度を評価する作業とは意味が異なるので注意が必要です。
リスクファイナンシングは、発見された脆弱性に対してアクセス制御や暗号化などの物理的および技術的な防御策を講じる作業を指す。
システムに鍵をかけたりデータを暗号化したりして不正侵入や情報漏洩を防ぐアプローチはリスクコントロールに分類されます。発生した損害をお金でカバーするリスクファイナンシングとはアプローチの方向性が正反対なので、出題者の罠に引っかからないようにしましょう。