問45
頻出度★★★
情報システムの安定稼働を妨げる様々な脅威への事前対策に関する説明のうち，適切なものはどれか。
平成21年度 秋期 ITパスポート試験 問45
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 45
不正解ア
不正アクセスの脅威は外部からの侵入だけではない。内部関係者による不正操作や権限の悪用、正規利用者のIDの不正利用なども大きな脅威であり、外部侵入を完全に阻止できたとしても事前対策として十分とはいえない。また「完全に阻止できる」という前提自体が非現実的である。
不正解イ
地震・水害などの自然災害は発生時期の予測は困難でも、被害の想定や発生確率の評価は可能であり、バックアップの遠隔地保管や代替設備の確保など事前対策が確立している。予測が難しいことを理由に自然災害を対象から外すのは、事業継続の観点から誤りである。
不正解ウ
バックアップはデータ消失からの復旧手段にすぎず、情報漏えいの防止、サービス停止時間の短縮、不正アクセスの遮断などには効果がない。むしろバックアップ媒体自体が漏えい源になりうる。バックアップだけで他の事前対策が不要になることはない。
- エ
正解 エが正解。情報システムの脅威対策では、脅威をすべてゼロにすることは現実には不可能で、対策には必ずコストがかかる。そこでリスクアセスメントによって「その脅威が起きたときの予想損失額 (発生確率 × 損害の大きさ)」を見積もり、それと「対策に要するコスト」を比較して、費用対効果の見合う対策から優先的に実施する。予想損失額より対策コストのほうが大きい部分は、保険への移転やリスク受容といった別の選択肢を取る。この「トレードオフを考慮して必要な事前対策を講じる」という考え方が、リスク対応の基本原則そのものであり、適切な説明である。
ここがポイント
- リスク対応は「予想損失額 (発生確率 × 損害額) と対策コストのトレードオフ」で優先順位を決める。ゼロリスクを目指すのではなく費用対効果で選ぶのが基本。
- 脅威は外部侵入・内部不正・自然災害・障害など多様であり、単一の対策 (侵入防止だけ、バックアップだけ) で網羅することはできない。
用語