重要度：A
問21：利用者がほとんどいない旧式の外部公開サービスに重大な脆弱性があり、改修費用も高い。業務部門がサービス自体を終了することにした。この対応はどれか。
- A：リスク保有
- B：リスク共有
- C：リスク回避
- D：リスク低減
【第21問：正解と解説】
正解：C
・A
リスク保有は、評価したリスクを受け入れて活動を継続する対応である。
・B
リスク共有は、保険や契約、分散などによって損失や影響を他者と分担する対応である。
・C
正しい。リスクの原因となる活動やサービスを中止し、対象リスクを生じさせない対応はリスク回避に当たる。
・D
リスク低減は管理策で可能性や影響を下げて活動を続ける対応であり、サービスの終了とは異なる。
重要度：A
問22：リスク低減のために管理策を選定する際の考え方として、最も適切なものはどれか。
- A：年間の費用が最も低い管理策を、リスクの大きさよりも優先して選定する
- B：他社で実績のある管理策を、自社のリスクとの関係は確認せずに導入する
- C：発生可能性を下げる管理策を優先し、影響を小さくする管理策は検討しない
- D：リスクの大きさ、法令、費用、実施可能性を踏まえて組み合わせる
【第22問：正解と解説】
正解：D
・A
費用は選定要素の一つだが、リスクの大きさとの均衡で判断する。安価でも効果が不十分なら未対応のリスクが残る。
・B
自社のリスクに対応しない管理策は、導入しても効果を確認できない。
・C
発生可能性と影響のどちらへ働く管理策も候補になる。リスクの性質に応じて組み合わせて検討する。
・D
正しい。リスクとの対応関係を基本に、法令・契約上の要求、費用対効果、実施可能性を総合して選定する。
重要度：B
問23：サイバー保険への加入によって、事故発生時の損失の一部を保険会社に負担してもらうこととした。このリスク対応の説明として、最も適切なものはどれか。
- A：リスク保有の一例であり、損失を自組織の負担として受け入れる対応に当たる
- B：リスク共有の一例であり、損失負担の一部を保険会社へ移すリスク移転に当たる
- C：リスク回避の一例であり、リスクを生じさせる活動を中止する対応に当たる
- D：リスク低減の一例であり、管理策で発生可能性を下げる対応に当たる
【第23問：正解と解説】
正解：B
・A
リスク保有は、リスク又は対策後の残留リスクを自組織で受け入れる対応であり、損失負担の一部を保険会社と分担する保険とは異なる。
・B
正しい。保険による損失の分担はリスク共有に当たり、SGシラバスではリスク移転とリスク分散がその例として示されている。
・C
回避は活動自体をやめる対応であり、保険への加入とは異なる。
・D
低減は管理策で可能性や影響を下げる対応であり、損失の分担とは異なる。
重要度：B
問24：管理者アカウントの不正利用リスクに対し、多要素認証、利用時間制限、操作ログの監視を導入した。この対応として、最も適切なものはどれか。
- A：リスクの原因となる管理者アカウントを廃止する、リスク回避の対応である
- B：発生可能性を下げるリスクコントロールによる、リスク低減の対応である
- C：リスクを認識した上で受け入れて監視する、リスク保有だけの対応である
- D：損失の負担を他者と分担する、リスク共有としての対応である
【第24問：正解と解説】
正解：B
・A
アカウントは廃止しておらず、活動をやめる回避には当たらない。
・B
正しい。発生可能性や影響を小さくする管理策を導入する対応は、リスク低減又はリスクコントロールに当たる。
・C
多要素認証などの管理策を追加しており、そのまま受け入れる保有ではない。
・D
保険や契約によって損失負担を他者と分担する対応ではなく、リスク共有には当たらない。
重要度：B
問25：サイバー保険へ加入する際の説明として、最も適切なものはどれか。
- A：損失の一部を移す備えだが、予防の対策や法的責任は消えない
- B：補償の範囲内の損失であれば、免責金額や支払上限を確認する必要はない
- C：金銭的な損失が補償されるため、信用の低下や行政対応は考慮しなくてよい
- D：保険の適用を受けるための事故報告の条件や期限は、事後に確認すれば足りる
【第25問：正解と解説】
正解：A
・A
正しい。サイバー保険は損失負担を調整する方法であり、残るリスクと組織の責任を把握する必要がある。
・B
保険には免責金額、支払上限、補償対象外の損害があり、契約条件の確認が必要である。
・C
信用の低下や行政上の対応など、金銭補償だけでは回復できない影響が残る。
・D
報告の条件や期限を満たさないと保険金が支払われない場合があり、事前に確認して対応計画へ組み込む。
コメント