基本情報のリスク対応を回避・低減・移転・受容の事例で見分ける

基本情報のリスク対応は、「危険につながる活動をやめるなら回避」「起こりやすさや影響を小さくするなら低減」「損失の負担を第三者と分けるなら移転」「把握したうえで引き受けるなら受容」と整理できます。保険・外注・バックアップといった単語だけで選ばず、その施策で何が変わるかを見るのが判断の軸です。

この記事では、好ましくない結果をもたらす負のリスクを対象に、四つの対応と対策後に残るリスクを業務事例で確かめます。説明用の会社・業務・金額・確率はすべて架空の設定です。実在企業の事故率や、特定の保険・サービスの補償条件を示すものではありません。

基本情報のリスク対応を四つの方針で見分ける

最初に対象のリスクを一文にする

対応の名前を選ぶ前に、「何が起こり、何に困るのか」を一文にしましょう。例えば「展示会へ送るデモ機が輸送中に破損し、展示ができなくなる」という形です。輸送中の破損、展示の中止、修理費の支出は関係していますが、まったく同じ事柄ではありません。

「リスクをなくした」と書かれていても、対象が修理費なのか、展示できないことなのかで意味が変わります。修理費を他者が補償しても、デモ機が会場に間に合わない影響は残るかもしれません。対象を曖昧にしたまま分類しないことが、回避と移転を混同しない第一歩です。

対応	変えるもの・判断すること	説明用の短い例
回避	当該リスクを生む活動を開始・継続しない	現物の輸送をやめ、現物なしの展示へ切り替える
低減	発生しやすさ又は発生時の影響	梱包を改善し、予備機も用意する
移転	損失の負担や対応の分担	輸送中の破損費用を補償する契約を結ぶ
受容	残るリスクを引き受ける判断	許容範囲の損失を自社で負担すると決める

この四つは、すべてのリスクへ同じ順番で実施する手順ではありません。一つのリスクに低減と移転を組み合わせ、残った分を受容することもあります。また、リスクには好ましい機会を扱う見方もありますが、本稿では損失や遅延など、負の影響への対応に絞ります。

試験の用語とのつながりは、IPAの基本情報技術者試験シラバスVer.9.2で確認できます。情報セキュリティリスク対応の用語例には、リスク回避、リスク共有、リスク保有、残留リスクなどが挙げられています。

回避は対象の活動をやめて経路をなくす

回避は、対象のリスクを生む活動を始めない、続けない、又は別の方法に変える対応です。先ほどの例で、デモ機を会場へ輸送せず、社内からの映像で説明する方式へ変更すれば、その輸送に伴う機材破損を回避できます。梱包を丈夫にするのとは、変えている部分が違います。

ポイントは、問題文で指定されたリスクが生じる経路を取り去っているかです。「現物の輸送をやめた」なら輸送破損への回避ですが、映像の通信が途切れる可能性まで消えたわけではありません。回避した対象と、代替手段が新たに抱えるリスクを分けて読みましょう。

システム開発なら、期限までに十分な検証ができない追加機能を今回の提供範囲から外し、その機能に由来する障害リスクを避ける例が考えられます。既存機能まで停止する必要があるとは限りません。どの活動を除くかは、対象のリスクと業務の目的に合わせて決まります。

一方、追加機能を残したままレビュー担当を増やすのは、欠陥を発見しやすくする低減です。「危ないので慎重に進める」という方針は、活動をやめたことにはなりません。設問の動詞が「中止」「利用しない」「対象から外す」なのか、「検査」「確認」「改善」なのかを比べます。

回避には、得られるはずだった利便性や機会を手放す面もあります。展示方式を変えることで、実機に触れてもらえなくなるかもしれません。分類の問題では回避と判定できても、経営判断として最善かどうかは別の問いです。問題が「対応の種類」と「最適な対応」のどちらを求めているかを先に確かめてください。

低減は確率と影響のどちらも対象になる

低減は、リスクの起こりやすさ、又は起きた場合の影響を小さくする対応です。デモ機の例で梱包方法を改善するのは、輸送中に壊れる可能性を下げる狙いです。予備機を別に準備するのは、壊れた場合でも展示を続けられるように、業務への影響を抑える狙いです。

二つは同じ低減でも、働きかける対象が違います。予備機を用意しただけで、最初の機材が壊れる確率が下がるとは限りません。それでも「展示ができなくなる」という結果を小さくできるので、リスク低減として意味があります。

ITの業務では、データを失った場合に復旧できるようバックアップを準備する対応も、損失の影響を小さくする例です。バックアップがあるから元の機器は壊れない、という関係ではありません。低減を「事故の発生確率を下げることだけ」と覚えると、この種の選択肢を落とします。

対策の効果は、実施したという事実だけで確定しません。バックアップを作成していても、必要な時点のデータを復元できなければ、想定した効果は得られません。分類としては低減を狙った施策でも、有効性の確認では復元できる範囲や時間を別に確かめます。

例えば「復旧に最大2日かかっていた作業を、復元手順の整備で半日以内にする」という架空の条件なら、主に停止時間という影響を小さくしています。「入力の二重確認により誤入力を起こしにくくする」なら、主に起こりやすさです。対策名だけでなく、前後で変わる指標を言えるようにしましょう。

用語では、低減に近い意味で「軽減」が使われる場合があります。設問が定義を示している場合は、それに合わせて判断します。効果の大小を問う問題でなければ、「確率か影響を小さくしている」という作用を押さえるのが先です。

移転は損失の負担と契約の範囲を見る

移転は、リスクが現実になったときの損失などを、契約や保険等によって他者へ移す、又は分担する対応です。ここでは「デモ機の輸送中の破損について、修理費の一部を補償する契約を結んだ」と仮定します。自社だけで費用を負担する状態から、負担の構造を変えています。

補償があっても、機材の破損自体が起きなくなるわけではありません。回避とは違い、輸送は続けています。また、費用の一部を分担できても、展示の中止による機会損失や、代替機を手配する手間まで補われるとは限りません。

外注も、書かれている仕組みを読んで判断します。契約で定めた損失負担を受託者へ移す内容なら、移転の観点があります。一方、専門業者の設備や手順で故障を起こしにくくする効果に注目した説明なら、低減の観点もあります。「外注」という一語だけで、どんな設問でも移転と決めないようにします。

例えば「保守会社に点検を委託し、故障の兆候を早く見つける」とだけある場合、確認できるのは故障リスクを低減する狙いです。「契約に基づき事故時の特定の費用を受託者が負担する」とあれば、負担の移転も読み取れます。試験では、選択肢がどちらの作用を説明しているかに合わせて答えます。

移転後に確認すべきなのは、対象となる事象、分担する損失、分担の上限や対象外となる範囲です。これは実在する商品の条件を推測するという意味ではありません。問題文に「一部だけ補償」とあるなら、その残りまで移転したものとして計算・判定しない、という読み方です。

自社で判断・確認する役割がすべて不要になるとも考えないでください。業務を続ける以上、自社の連絡・意思決定や、委託先との認識合わせは残り得ます。「第三者へ任せるので管理は一切不要」とする選択肢は、どの範囲が移ったと説明されているのかを見直す必要があります。

保有・転嫁などの言い換えを整理する

資料や出題分野によって、受容を「保有」、移転を「転嫁」と表現することがあります。情報セキュリティの文脈では、リスク共有の中にリスク移転を含める表記もあります。四分類を覚える段階では、表面の語が違っても、引き受けるのか、負担を分けるのかを読み分けます。

本稿の表記	近い意味で見かける表記	判断する説明
回避	回避	当該リスクを生む活動を開始・継続しない
低減	軽減	起こりやすさや影響を小さくする
移転	転嫁・共有の一部	第三者へ損失等の負担を移す・分ける
受容	保有	リスクを把握したうえで引き受ける

ただし、「共有」という語を見たら常に負のリスクの移転だと断定するのは避けます。プロジェクトの好ましい機会を他者と共有する意味で使われることもあるためです。最初に、損失への対応の話か、機会への対応の話かを確認してください。本稿の四分類は負のリスクを対象にしています。

四分類は、担当部署の名前とも別です。経理部が関わるから移転、技術部が関わるから低減とは限りません。誰が作業したかより、活動の有無、確率・影響、負担の所在、引き受ける判断のどれを変えたかを見ます。

基本情報のリスク対応を事例と残留リスクで選ぶ

受容は把握したうえで引き受ける判断

受容は、対象のリスクを把握・評価し、その損失や影響を引き受けると決める対応です。未発見で放置されたリスクと、判断のうえで受け入れたリスクを区別しましょう。新しい予防策を追加しないという選択でも、把握・判断・監視まで不要になるわけではありません。

例えば、社内だけで使う補助資料の印刷が遅れた場合、代わりに電子資料を見れば会議を続けられるとします。影響が許容範囲に収まり、高額な専用予備機を追加する必要はないと責任者が判断したなら、残る印刷遅延リスクを受容する例になります。

ここで、「予備機を買う予算がないので誰にも知らせず放置する」という説明とは区別が必要です。対策費用が大きいことは判断材料ですが、それだけで受容が妥当と決まるわけではありません。損失の大きさ、業務の重要性、守るべき条件、判断権限を合わせて確認します。

受容の理由は、事故が起きても必ず小さな損失だから、という場合だけではありません。他の対策を講じてもリスクが残り、その範囲を引き受けると決める場合もあります。許容できない影響が残るなら、別の対策や活動の見直しが必要です。残ったから自動的に受容、という順序にはしません。

リスク保有の考え方は、IPAのデータ利活用・保護に関する調査報告書でも説明されています。同資料では、対策後の残りを受容する場合と、特定したリスクへの追加対策をせず監視する場合を扱っています。この記事の業務例は、その説明を基に作成した独自の例です。

対策後の残留リスクをもう一度評価する

残留リスクは、対策後にも残っているリスクです。「対策を実施した」と「リスクがなくなった」は同じではありません。また、追加対策をせずに保有しているリスクを、残留リスクとして扱う資料もあります。残る範囲を把握して、受け入れられるか判断します。

デモ機の輸送に戻ると、梱包を改善し、破損費用の一部を移転しても、代替機が展示に間に合わない影響は残るかもしれません。そこで、予備機の手配、映像展示への切替、当日の判断担当を定めるなど、残った影響へ対応を追加するか検討します。

対策前後を比べるときは、同じリスクを見ているかをそろえます。「費用負担が小さくなった」ことを、「輸送事故の確率が下がった」根拠にはできません。費用・停止時間・顧客対応など、何を減らせたかと何が残ったかを分けて書きます。

確認する項目	デモ機の例での確認内容
元のリスク	輸送破損で現物展示ができなくなる
実施した対応	梱包改善による低減、特定費用の移転
残る影響	予備機の到着遅れ、現物展示ができないこと
判断する人	展示実施の可否を決める担当責任者
見直す条件	輸送方法や機材の変更、類似事故の発生など

対策が別のリスクを生むこともあります。予備機の配置を増やした結果、機材の取り違えが起きやすくなるなら、元の輸送破損の残りとは別の問題です。新しく生じたリスクも洗い出して評価し、元のリスクへの対策だけで終わらせないようにします。

残留リスクと四つの対応方法の説明は、IPAのセキュリティマネジメント指導資料「情報資産の洗い出しとリスク分析」でも確認できます。対策名を決めるだけでなく、実施後に残るものへ判断を戻すことが大切です。

期待損失は条件をそろえて比較する

リスクの大きさを比較するために、発生確率と損失額を使う場合があります。ここでは「1年間に当該事故が起きるか起きないか」の二通りだけを考え、起きなければ損失0円、起きれば損失100万円という単純な架空モデルを使います。発生確率は20％と仮定します。

このモデルの期待損失は、20％×100万円＋80％×0円＝20万円です。これは、その年に必ず20万円を失うという意味ではありません。モデルの結果は0円又は100万円であり、確率に応じて重み付けした平均が20万円です。

期待値の考え方は、神戸大学MBAの「確率的思考・統計的思考」でも、損失と確率の関係として説明されています。以下の数値は記事独自の設定で、実際の業務の事故率を推定したものではありません。

対策Aは、この1年間の対策費用が6万円、発生確率を5％へ下げ、事故時の損失額は100万円のままと仮定します。対策後の期待損失は5万円なので、対策費用と合計すると11万円です。対策Bは費用4万円で、確率20％は変わらず、事故時の損失額を50万円に下げるとします。こちらは10万円＋4万円＝14万円です。

案	この1年間の発生確率	事故時の損失	期待損失	対策費用との合計
追加対策なし	20％	100万円	20万円	20万円
対策A	5％	100万円	5万円	11万円（費用6万円）
対策B	20％	50万円	10万円	14万円（費用4万円）

期待損失と対策費用の合計だけなら、この仮定ではAが最小です。ただしAでも事故が起きた場合は100万円の損失があり、Bなら50万円です。「1回の損失を60万円以下に抑えたい」という別の条件があれば、Aはその条件を満たしません。平均だけを比べた結論を、すべての目的に対する最善へ広げないでください。

期間もそろえます。年単位の確率に対して月単位の費用を一度だけ加えたり、初期費用を無視して運用費用だけを比べたりすると、同じ基準の比較になりません。この例では費用はすべて同じ1年間に必要な金額で、他の費用や損失は考えないと決めています。

また、リスクの数値がすべて金額の期待値とは限りません。高・中・低や、問題で定義された点数を使う場合もあります。「確率3、影響4」とあっても、3％や4万円という意味とは限りません。問題文の尺度と計算方法を読み、定義されていない単位へ勝手に直さないようにします。

監視と見直しまで含めて事例を解く

対応方針を選んだら、誰が、いつ、何を確認するかまで決めると、受容と放置の違いがはっきりします。例えば社内印刷の遅延を受容した場合でも、会議への支障が増えた、電子資料で代替できない会議が増えた、といった変化があれば再評価します。

見直し条件は、事故件数だけに限りません。対象データの重要性、利用者数、委託範囲、補償条件、業務の締切が変わった場合も、元の判断の前提が崩れることがあります。定期確認に加え、前提が変わったときにも方針を見直す、と考えましょう。

確認問題として、次の四つを回避・低減・移転・受容に分けてください。分類名だけでなく、何が変わったためにそう判断したのかを、一文で説明してみます。いずれも説明のための架空の業務事例です。

• 問1：外部から受け付ける実験機能の不具合リスクを検討し、その機能の提供自体を今回は行わない
• 問2：業務システムの障害時の停止時間を短くするため、代替環境への切替手順を整備する
• 問3：機材の破損時に自社が負担する修理費の一部を、契約で第三者に負担してもらう
• 問4：軽微な印刷遅延の影響を評価し、許容範囲として追加設備を導入せず、支障の有無を定期確認する

問1は回避です。対象の機能を提供しないため、その機能の提供から生じるリスクを避けています。問2は低減です。障害の発生自体をなくしたのではなく、起きたときの停止時間を小さくする狙いです。

問3は移転です。修理費の負担の一部を第三者と分ける仕組みが明記されています。破損そのものを防いだとは書かれていません。問4は受容です。影響を評価し、追加対策をせず引き受けると判断し、監視も続けています。

次に条件を少し変えます。問3の会社が、さらに丈夫な保護ケースを導入したなら、その部分は低減です。契約による移転と組み合わせています。また、補償されない少額分を把握したうえで自社負担とするなら、その残りには受容の判断も含まれます。対応は必ず一つだけ、とは限りません。

最後に「印刷遅延は軽微だから受容していたが、重要会議の開始に支障が出るようになった」という変化が起きたとします。以前の判断をそのまま続けるのではなく、影響を評価し直し、低減策や代替方法を検討します。受容したことは、将来にわたって見直さない理由にはなりません。

判断や対策の実施状況を点検する立場まで確認するなら、基本情報のシステム監査と内部統制が関連します。監査の役割と、リスクへの対応を実行・判断する役割を混同せず、誰が何を行うかを分けて整理できます。

情報セキュリティ分野全体の学習順へ戻りたい場合は、基本情報の情報セキュリティ対策ガイドで位置づけを確認できます。本稿の四分類を理解した後、個々の技術対策が確率と影響のどちらに働くかを考えながら読むとつながります。

まとめ：基本情報のリスク対応の選び方

回避・低減・移転・受容を見分けるときは、まず対象のリスクを一文で決めます。活動をやめるなら回避、確率や影響を小さくするなら低減、損失等の負担を分けるなら移転、把握・評価したリスクを引き受けるなら受容です。外注やバックアップなどの単語だけに頼らず、施策の作用を確認しましょう。

対策後は残留リスクを評価し、受容できるかと、何が変われば見直すかを確認します。計算問題では期間と単位をそろえ、期待損失の平均と事故時の損失を区別してください。まず上の四つの確認問題を、分類名とその理由の両方で説明できるか試すのが次の一歩です。