【CompTIA Security+問題集】⑥ガバナンス・リスク・コンプライアンス徹底解説つき「初心者向け無料演習」

この記事は、CompTIA Security+の「ガバナンス・リスク・コンプライアンス（GRC）」分野の演習問題を、1問ずつ徹底解説つきでお届けするシリーズ第6弾です。リスク評価の計算、リスク対応の4分類、BCP/DR、主要な法令・基準など、暗記に頼りがちな分野を「意味」から理解できるように整理します。

解説では、正解の理由だけでなく、不正解の選択肢がなぜ違うのかまで説明しています。計算問題（ALE）や紛らわしい略語（RTO/RPO、SLA/NDA/MOU）を、ここで確実に押さえましょう。まずは何も見ずに解いてみてください。

ガバナンス・リスク・コンプライアンス演習問題（全10問）
おわりに
CompTIA Security+ 問題集シリーズ全8回（分野別）

ガバナンス・リスク・コンプライアンス演習問題（全10問）

問題1

年間予想損失額（ALE）を求める式として正しいのはどれか。

A. SLE − ARO
B. SLE + ARO
C. SLE × ARO
D. ARO ÷ SLE

正解　C

【解説】
答えはSLE × AROです。年間予想損失額（ALE：Annualized Loss Expectancy）は、1回の事故で失う額（SLE：Single Loss Expectancy）に、その事故が年間に起こる回数（ARO：Annualized Rate of Occurrence）を掛けて求めます。たとえば、1回の被害が100万円（SLE）で、年に2回起きる想定（ARO＝2）なら、ALEは200万円です。この金額が、対策にいくらまでお金をかけてよいかの判断基準になります。

各選択肢の解説
A：引き算では損失額の年換算にならない。
B：足し算も同様に誤り。
C：正しい。ALE＝SLE×ARO。
D：割り算は定義に合わない。

試験対策ポイント：「ALE＝SLE×ARO」。定量的リスク評価の基本式。
ワンポイント：対策費がALEを下回るなら対策する価値がある、という判断に使う。
関連知識：SLE＝資産価値×EF（暴露係数）で求める。

問題2

サイバー保険に加入して、リスクによる損失を保険会社に肩代わりしてもらうリスク対応はどれか。

A. リスク移転
B. リスク受容
C. リスク回避
D. リスク低減

正解　A

【解説】
答えはリスク移転です。サイバー保険への加入のように、リスクによる損失を他者（保険会社など）に肩代わりしてもらう対応です。リスクそのものが消えるわけではなく、金銭的な負担を移すのがポイントです。アウトソーシングもリスク移転の一種といえます。

各選択肢の解説
A：正しい。保険などで損失を第三者に移す。
B：リスク受容は、あえて対策せず受け入れること。
C：リスク回避は、その活動自体をやめてリスクをなくすこと。
D：リスク低減は、対策でリスクを小さくすること。

試験対策ポイント：「保険で肩代わり＝リスク移転」。リスク自体は消えない。
ワンポイント：リスク対応は4種：回避・移転・低減・受容。セットで覚える。
関連知識：アウトソーシングも移転の一種だが、責任まで完全に移るわけではない。

問題3

対策にかかるコストが想定被害額を上回るため、あえて対策せずリスクをそのまま受け入れる対応はどれか。

A. リスク回避
B. リスク移転
C. リスク低減
D. リスク受容

正解　D

【解説】
答えはリスク受容です。対策にかかるコストが、想定される被害額を上回るような場合に、あえて対策せずリスクをそのまま受け入れる対応です。すべてのリスクをゼロにはできないため、小さなリスクは受容するのが現実的な判断になります。受容する際は、経営層が正式に承認するのが原則です。

各選択肢の解説
A：リスク回避は、活動自体をやめてリスクをなくす。
B：リスク移転は保険などで損失を移す。
C：リスク低減は対策でリスクを小さくする。
D：正しい。あえて対策せず受け入れる。

試験対策ポイント：「対策せず受け入れる＝リスク受容」。コスト＞被害額のときの選択。
ワンポイント：受容は経営層の正式承認が必要。担当者の独断で決めない。
関連知識：残留リスク（対策後に残るリスク）は受容の対象になる。

問題4

災害やシステム障害が業務に与える影響を分析し、どの業務から優先して復旧すべきかを決めるために行うものはどれか。

A. SLA
B. 事業影響分析（BIA）
C. リスク移転
D. 監査

正解　B

【解説】
答えは事業影響分析（BIA：Business Impact Analysis）です。災害やシステム障害が業務にどれだけの影響を与えるかを分析し、どの業務から優先して復旧すべきかを決めるために行います。ここでRTOやRPOといった復旧目標も定めます。事業継続計画（BCP）や災害復旧（DR）の出発点になる作業です。

各選択肢の解説
A：SLAはサービス品質の契約で、影響分析ではない。
B：正しい。業務への影響を分析し、復旧優先度を決める。
C：リスク移転は損失を他者に移す対応。
D：監査は統制の有効性を確認する活動。

試験対策ポイント：「業務影響を分析し復旧優先度を決める＝BIA」。BCP／DRの出発点。
ワンポイント：BIAの中でRTO・RPOを決める、という流れを押さえる。
関連知識：BCP（事業継続計画）とDR（災害復旧）はBIAをもとに作る。

問題5

システムが停止してから復旧するまでに許容できる目標時間を表す指標はどれか。

A. RPO
B. ALE
C. RTO
D. MTTR

正解　C

【解説】
答えはRTO（Recovery Time Objective）です。システムが停止してから復旧するまでに許容できる目標時間を表します。たとえばRTOが4時間なら、4時間以内に復旧させる体制を整えます。よく対で問われるRPOは、時間ではなくデータの損失許容量（どの時点まで戻せるか）を指します。混同しやすいので、RTO＝時間、RPO＝データ量（時点）と区別しましょう。

各選択肢の解説
A：RPOは許容できるデータ損失の時点で、時間目標ではない。
B：ALEは年間予想損失額。
C：正しい。復旧までに許容できる目標時間。
D：MTTRは平均修復時間で、目標ではなく実績の指標。

試験対策ポイント：「復旧までの目標時間＝RTO」「戻せるデータの時点＝RPO」。
ワンポイント：RTO＝どれだけ早く復旧するか、RPO＝どれだけデータを失ってよいか。
関連知識：バックアップ頻度はRPOで決まる。RPO1時間なら1時間ごとにバックアップ。

問題6

障害が起きたとき、どの時点まで戻せればよいか、すなわち許容できるデータ損失の量を表す指標はどれか。

A. RPO
B. RTO
C. SLE
D. ARO

正解　A

【解説】
答えはRPO（Recovery Point Objective）です。障害が起きたとき、どの時点まで戻せればよいか＝許容できるデータ損失の量を表します。RPOが1時間なら、最大1時間分のデータ消失までは許容する、という意味で、そのためには少なくとも1時間ごとのバックアップが必要になります。RTO（復旧までの時間）とセットで問われる頻出テーマです。

各選択肢の解説
A：正しい。許容できるデータ損失の時点。
B：RTOは復旧までの目標時間。
C：SLEは1回あたりの損失額。
D：AROは年間の発生回数。

試験対策ポイント：「許容できるデータ損失の時点＝RPO」。バックアップ頻度を決める。
ワンポイント：RPO1時間→1時間ごとのバックアップが必要、という関係を押さえる。
関連知識：RTOとRPOは必ずセットで問われる。時間かデータ量かで区別する。

問題7

情報を「公開・社内・機密・極秘」などのレベルに区分し、それぞれの扱い方を定める取り組みはどれか。

A. 職務分離
B. データ分類
C. 暗号化
D. 監査ログ

正解　B

【解説】
答えはデータ分類です。情報を「公開・社内・機密・極秘」などのレベルに区分し、それぞれの扱い方（アクセスできる人、暗号化の要否、保管・廃棄方法）を定める取り組みです。すべての情報を同じように守るのは非効率なので、重要度に応じてメリハリをつけて守るのが目的です。分類があって初めて、適切なアクセス制御や暗号化が設計できます。

各選択肢の解説
A：職務分離は権限を複数人に分ける原則。
B：正しい。情報を重要度で区分し、扱いを定める。
C：暗号化は保護手段の一つで、分類そのものではない。
D：監査ログは操作の記録。

試験対策ポイント：「重要度でレベル分け＝データ分類」。守り方のメリハリづけ。
ワンポイント：分類 → ラベル付け → 取扱ルール、の順で運用する。
関連知識：データ所有者（データオーナー）が分類の責任を持つ。

問題8

クレジットカード情報を扱う事業者が従うべき、カード業界が定めたセキュリティ基準はどれか。

A. GDPR
B. HIPAA
C. ISO 9001
D. PCI DSS

正解　D

【解説】
答えはPCI DSSです。クレジットカード情報を扱う事業者が従うべき、カード業界（VisaやMastercardなど）が定めたセキュリティ基準です。カード番号の暗号化、アクセス制限、定期的な脆弱性診断などを求めます。ほかにも、EUの個人データを守るGDPR、米国の医療情報を守るHIPAAなど、業種・地域ごとに従うべきコンプライアンス（法令・基準）があります。

各選択肢の解説
A：GDPRはEUの個人データ保護規則で、カード専用ではない。
B：HIPAAは米国の医療情報の保護法。
C：ISO 9001は品質管理の規格で、セキュリティ基準ではない。
D：正しい。カード業界のセキュリティ基準。

試験対策ポイント：「カード情報＝PCI DSS」「EU個人データ＝GDPR」「米国医療＝HIPAA」。
ワンポイント：情報セキュリティ全般のマネジメント規格はISO 27001。9001（品質）と混同しない。
関連知識：準拠しないと罰金や取引停止など、事業上の重大なリスクになる。

問題9

サービス提供者と利用者の間で、稼働率や応答時間などのサービス品質を数値で約束する契約はどれか。

A. NDA
B. MOU
C. SLA
D. BIA

正解　C

【解説】
答えはSLA（Service Level Agreement）です。サービス提供者と利用者の間で、稼働率（例：99.9%）や応答時間などのサービス品質を数値で約束する契約です。守れなかった場合の返金などのペナルティも定めます。似た用語に、法的拘束力の弱い覚書のMOU、秘密保持契約のNDAがあり、混同しやすいので区別しておきましょう。

各選択肢の解説
A：NDAは秘密保持契約で、情報を漏らさない約束。
B：MOUは覚書で、法的拘束力は比較的弱い。
C：正しい。サービス品質を数値で約束する契約。
D：BIAは事業影響分析で、契約ではない。

試験対策ポイント：「サービス品質の約束＝SLA」。稼働率や応答時間を数値で保証。
ワンポイント：SLA＝品質保証、NDA＝秘密保持、MOU＝覚書。第三者契約でまとめて問われる。
関連知識：ベンダー管理（第三者リスク）では、契約書の内容が統制の要になる。

問題10

フィッシングやソーシャルエンジニアリングなど、人を狙う攻撃に対して最も効果的な組織的対策はどれか。

A. セキュリティ意識向上トレーニング（教育）
B. ファイアウォール
C. 暗号化
D. バックアップ

正解　A

【解説】
答えはセキュリティ意識向上トレーニング（教育）です。フィッシングやソーシャルエンジニアリングは、機械ではなく「人」の心理的な隙を突く攻撃です。どんなに高価な機器を入れても、社員一人がだまされれば突破されます。だからこそ、定期的な教育と模擬フィッシング訓練で、人の防御力を上げることが最も効果的な対策になります。「人は最も弱い鎖の輪」と言われる所以です。

各選択肢の解説
A：正しい。人を狙う攻撃には、人への教育が最も効く。
B：ファイアウォールは通信の制御で、人の判断は守れない。
C：暗号化はデータ保護で、だまされること自体は防げない。
D：バックアップは復旧手段で、被害の予防にはならない。

試験対策ポイント：「人を狙う攻撃＝教育（意識向上）で守る」。技術だけでは防げない。
ワンポイント：人は最も弱い環。模擬フィッシング訓練で耐性を測り、鍛える。
関連知識：入社時教育・定期教育・訓練の3本柱で、組織の意識を維持する。

■ ここまでのミニまとめ（問題1〜10）

復習ポイント：ALE＝SLE×ARO／保険で肩代わり＝リスク移転／対策せず受け入れ＝リスク受容／業務影響分析＝BIA／復旧までの時間＝RTO／許容データ損失＝RPO／重要度で区分＝データ分類／カード情報＝PCI DSS／サービス品質の約束＝SLA／人を守るのは教育。

重要用語まとめ：ALE／SLE／ARO、リスク対応4種（回避・移転・低減・受容）、BIA、RTO／RPO、データ分類、GDPR／PCI DSS／HIPAA／ISO 27001、SLA／NDA／MOU、意識向上教育。

頻出ポイント：①ALEの計算②リスク対応4種の区別③RTO（時間）とRPO（データ量）の違い④主要コンプライアンスの対象。ここは特に狙われます。

現役エンジニアの視点：実務での使いどころ

GRC（ガバナンス・リスク）は暗記に見えて、実務では「どこまで対策にお金をかけるか」という経営判断に直結します。ALEの計算やリスク対応の4分類は、実際のセキュリティ予算の議論でそのまま使う考え方です。RTOとRPOは、バックアップ設計のときに必ず決める数字なので、「いつまでに・どこまで戻すか」の実務としてイメージすると覚えやすいです。