解説

情報セキュリティのリスク対応は4つに分類されます：①リスク移転（保険加入・第三者への転嫁）②リスク回避（リスクを生む活動自体をやめる）③リスク低減（対策を実施してリスクを小さくする）④リスク保有（許容できるリスクを意図的に受け入れる）。選択肢dの「ノートPCの紛失・盗難に備えて社外への持出しをより厳重に管理する」は、紛失・盗難のリスクが発生する確率を下げる対策であり、リスク低減に該当します。この4つの対応は「選択肢」（どれかを選んで適用するもの）であり、決まった実施順はありません。

なぜ他の選択肢は違うのか

選択肢 ア

「リスク対応の実施手順であり、回避→移転→低減→保有の順番で進める」は誤りです。リスク対応の4つは優先順位に従った手順ではなく、各リスクの特性・コスト・効果を評価して最適なものを選択する「選択肢」です。

選択肢 イ

「保有→低減→移転→回避の順番で進める」も同様に誤りです。リスク対応に固定の実施順はなく、リスク評価の結果に基づいて組み合わせて適用します。

選択肢 ウ

「保険を掛けることはリスク回避に該当する」は誤りです。保険加入は第三者（保険会社）にリスクを転嫁するリスク移転です。リスク回避は「そのリスクを生む活動自体を行わない」（例：クラウド利用のリスクを避けるためクラウドを使わない）という選択です。

解くときのポイント

リスク対応の4分類：移転（保険・第三者転嫁）、回避（リスクある活動をやめる）、低減（対策でリスクを小さく＝持出し厳重管理）、保有（許容範囲として受け入れる）。「固定の順番なし・状況に応じた選択肢」という点も重要。