CompTIA Security+（SY0-701） 無料問題 9 / 10 ・ 分野5: セキュリティプログラムの管理と監視
想定される地震の被害が小さく、対策の費用に見合わないと判断した。NIST SP 800-39 で、この判断に当たるリスクへの対応とその条件はどれか。
- リスクの受容。特定したリスクが、組織のリスク許容度の範囲内にあるときに適切な対応
- リスクの低減。受け入れも回避も共有もできない部分に、管理策を追加して下げる対応
- リスクの移転。損害の責任を、保険などで、他の組織へ移す対応で、リスクの発生可能性も下げる
- リスクの回避。特定したリスクが、組織のリスク許容度を超えるときに、その原因の活動をやめる対応
正解と解説を見る
正解: A
正解の理由
「リスクの受容。特定したリスクが、組織のリスク許容度の範囲内にあるときに適切な対応」SP 800-39 は、特定したリスクが組織のリスク許容度の範囲内にあるとき、リスクの受容が適切な対応だと述べる。リスクが低い、中程度、高いのどれでも、状況によっては受容できる。例として、地震の頻度が低い地域のデータセンターが、対策の費用に見合わないとして、地震のリスクを受容する。
違う選択肢
「リスクの回避。特定したリスクが、組織のリスク許容度を超えるときに、その原因の活動をやめる対応」…回避は、許容度を超えるリスクに対し、原因となる活動や技術を除く対応。許容度の範囲内なら受容。
「リスクの移転。損害の責任を、保険などで、他の組織へ移す対応で、リスクの発生可能性も下げる」…移転は責任を他の組織へ移すが、発生の可能性も被害の大きさも下げない。
「リスクの低減。受け入れも回避も共有もできない部分に、管理策を追加して下げる対応」…低減は、受容・回避・共有・移転できない部分のリスクに対する対応。許容度の範囲内なら、対策をしない受容が合う。
押さえどころ
ミッションや業務の必要性が強いときは、中程度から高いリスクを受容することもある。受容の水準は、近い将来の業務の必要と、長期の影響などの間の優先順位とトレードオフを踏まえて決める。