正解：エ
各選択肢の解説
ア顧客データのバックアップを別の拠点にも保管し、被害の範囲を小さくする。
誤り。これはリスクコントロールです。お金の話に見えないので迷いにくい一方、 「被害が出た後に効く」点でファイナンシングと混同されがちです。被害そのものを 小さくする手立てか、出た損失を払う資金の手当てかで区別します。
イ管理画面へのログインに多要素認証を導入し、不正ログインを起きにくくする。
誤り。これはリスクコントロールです。発生可能性を下げるリスク低減の典型で、 事故そのものに手を打っています。ファイナンシングは事故が起きる前提で、 損失を払うお金をどう用意するかを決めるものです。
ウ利用者の少ない旧Webサービスを廃止し、そのサービスで起こりうる事故をなくす。
誤り。これはリスクコントロールのうちのリスク回避です。原因となる活動を やめて、リスクそのものを無くしています。損失に備えてお金を用意する ファイナンシングとは、事故に向き合う手段が違います。
エ事故が起きたときの復旧費用に充てるため、毎年一定額の資金を積み立てておく。
正解。事故の起きやすさや被害の大きさは変えず、生じた損失を払う資金を 前もって用意しています。自社で損失を負う保有を、積立金で裏づけるリスクファイナンシングです。
理解を深めるために
事故を「減らす」か、損失を「払えるようにする」か
火事への備えにたとえると、消火器を置く・火の元を減らすのがリスクコントロール、 火災保険に入る・修繕費を積み立てるのがリスクファイナンシングです。前者は 火事そのものに手を打ち、後者は燃えた後のお金の手当てをします。
なぜ2つに分けて考えるのか
- リスクコントロールは、発生可能性や影響の大きさを直接小さくする手立て。 リスク回避（活動をやめる）とリスク低減（対策で抑える）がここに入る
- リスクファイナンシングは、事故は起こりうるものとして、損失を誰の どのお金で払うかを決める手立て。保険などで負担を他者に移すリスク移転と、 積立金などで自社が負担するリスク保有の裏づけがここに入る
- コントロールだけでは損失はゼロにならず、ファイナンシングだけでは事故は 減らない。両方を組み合わせて対応計画を立てる
混同しやすいものとの違い
| 対応策 | 分類 | 何に手を打っているか |
|---|---|---|
| 復旧費用の積立て | ファイナンシング（保有） | 生じた損失を払う資金 |
| サイバー保険への加入 | ファイナンシング（移転） | 損失の負担を保険会社へ移す |
| 多要素認証の導入 | コントロール（低減） | 事故の起きやすさ |
| 別拠点へのバックアップ | コントロール（低減） | 被害の範囲 |
| 旧サービスの廃止 | コントロール（回避） | 原因となる活動そのもの |
バックアップは事故の後に効くので紛らわしいですが、データという被害そのものを 小さくしています。「お金を用意しているか」で見分けると迷いません。