リスク対応案の区分と残留リスクの受容判断

オリジナル1問1答目安 6分

オリジナル問題です(IPA の問題ではありません)。AI が作成し、技術・規格の主張は一次情報で確認しています。本番とは出題の癖が違うことがあります。

確認に使った一次情報

C社は，通信販売を営む従業員300名の企業である。C社では，情報セキュリティ委員会が年1回リスクアセスメントを行っており，今年度は情報セキュリティ担当のDさんが取りまとめを担当している。

〔リスク評価とリスク対応の規程（抜粋）〕

リスク値は，影響度（1〜3）と発生可能性（1〜3）の積とする。影響度は，業務及び顧客への影響の大きさで評価する。保険金などの金銭的な補填は影響度の評価に反映しない。
対策後のリスク値（残留リスク）が3以下であれば，リスク所有者の承認を得て受容できる。4以上の場合は受容できず，追加の対応を計画する。
リスク対応は次の四つに区分する。低減：対策を導入して，事故が起きる可能性又は影響を下げる。回避：業務のやり方や情報システムの利用方法を変えて，リスクそのものをなくす。移転：補償能力のある他者（保険を含む）や，自社より有効な対策を行う他者のサービスを利用して，自社の負担を下げる。保有：対策を講じず，現状を維持する。

各部署から提出されたリスク対応案を，表1に示す。

表1　リスク対応案（抜粋）

項番	リスク	現状（影響度×発生可能性）	対応案	部署が見積もった対策後（影響度×発生可能性）
R1	営業担当者のノートPCの紛失による顧客情報の漏えい	3×2＝6	全ノートPCにディスク全体の暗号化とリモートワイプを導入する。	2×2＝4 （紛失時の顧客対応が残るため影響度2）
R2	ランサムウェアによる受注システムの停止	3×2＝6	復旧費用と停止期間中の逸失利益を補償するサイバー保険に加入する。	1×2＝2 （損失は保険金で補填されるため影響度1）
R3	2022年に終了したキャンペーンサイトの，更新されていないCMSの脆弱性を悪用した改ざん	2×3＝6	サイトを閉鎖し，サーバとその中の応募者データを消去する。	なし
R4	社内の受付に置いたデジタルサイネージ端末（公開済みの情報だけを表示）の表示内容の改ざん	1×2＝2	対策は講じず，現状を維持する。	1×2＝2

Dさんは，表1の対応案を規程に照らして確認し，R2の対応の区分は【 a 】，R3の対応の区分は【 b 】であり，対策後のリスク値が受容基準を満たさず，追加の対応を計画すべきリスクは【 c 】であると，情報セキュリティ委員会に報告した。

設問

本文中の【 a 】〜【 c 】に入れる字句の組合せはどれか。解答群のうち，最も適切なものを選べ。

解答群

正解 0 / 解答 0(全1設問)