正解：ア
各選択肢の解説
ア対策の費用と効果を比べて、受け入れられる水準までリスクを抑え、残るリスクも把握する。
正解。リスクは費用をかけてもゼロにはできません。 どこまで下げれば受け入れられるかを組織として決め、残ったリスクも管理下に置きます。
イ想定されるすべてのリスクを取り除けるまで、対策を追加し続けることを目標にする。
誤り。「安全第一ならゼロを目指すべき」という誤解です。 リスクを完全になくすことはできず、対策費が守る価値を上回れば本末転倒です。 目標は「なくす」ではなく「受け入れられる水準に抑える」です。
ウ事故が起きた後に、損害をできるだけ小さく抑えて早く復旧することに活動を絞る。
誤り。これはインシデント発生後の対応の説明で、リスクマネジメントの一部にすぎません。 リスクマネジメントは、事故が起きる前にリスクを見積もって手を打つことが中心です。 「起きる前」か「起きた後」かで区別します。
エ一度リスクを評価して対策を決めたら、以後は見直さずに同じ対策を続ける。
誤り。新しい攻撃手口や業務の変化で、リスクの大きさは変わっていきます。 決めた対策を定期的に点検し、状況に合わせて見直し続けることが前提です。 一度きりの作業ではなく、継続する活動です。
理解を深めるために
ゼロにするのではなく、付き合える大きさにする
自動車事故のリスクをゼロにしたければ、車に乗らないしかありません。 現実には、シートベルトを締め、保険に入り、安全運転を心がけて、 受け入れられる大きさまでリスクを下げて車を使います。 情報セキュリティのリスクマネジメントも同じ考え方です。
なぜ「受け入れられる水準」なのか
- リスクを完全になくす対策は存在しない。対策後にも残るリスク（残留リスク）がある
- 対策には費用がかかる。守る情報の価値を超える費用は正当化できない
- どこまで受け入れるかは、事業への影響を踏まえた経営の判断になる
- 脅威や業務は変わるので、評価と対策は定期的に見直し続ける
リスクマネジメントは、リスクを洗い出して大きさを見積もり、 対策を選び、残ったリスクを把握し、見直す、という流れ全体を指します。
よくある誤解との違い
| 考え方 | どこがずれているか |
|---|---|
| 受け入れられる水準に抑える | 費用と効果の釣り合いを取り、残るリスクも管理する |
| リスクをゼロにする | 不可能で、費用が際限なく膨らむ |
| 事故後の復旧に絞る | インシデント対応であって、事前の手当てが抜ける |
| 一度決めたら見直さない | 脅威や業務の変化に追いつけない |
試験では「すべて」「完全に」「ゼロ」といった言葉が入った選択肢は疑ってかかると、 リスクマネジメントの問題を取りこぼしにくくなります。