問83
頻出度★★★
ISMS における情報セキュリティリスクの特定に関する記述において，a，b に入れる字句の適切な組合せはどれか。 ISMSの ［ a ］ における情報の機密性，［ b ］ 及び可用性の喪失に伴うリスクを特定する。
平成29年度 春期 ITパスポート試験 問83
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 83
不正解ア
b の「完全性」は三大要素として正しいが、a の「適用範囲外」が誤り。リスク特定は ISMS の適用範囲内にある情報資産を対象に行うため、a には「適用範囲内」が入る。
不正解イ
a の「適用範囲外」も b の「脆弱性」も誤り。a は「適用範囲内」が正しく、b に入るのは三大要素の一つである「完全性」。脆弱性はリスクを生む弱点であって、機密性・可用性と並ぶ守るべき特性ではない。
- ウ
正解 正解はウ (a：適用範囲内，b：完全性)。ISMS のリスクアセスメントでは、まず ISMS の「適用範囲内」にある情報資産を対象として、そこに存在するリスクを特定する。適用範囲外の情報はマネジメントの対象ではないため、a には「適用範囲内」が入る。また、情報セキュリティの三大要素 (CIA) は「機密性・完全性・可用性」であり、設問文には機密性と可用性がすでに挙がっているので、残る b には「完全性」が入る。よって a＝適用範囲内、b＝完全性 の組合せが正しい。
不正解エ
a の「適用範囲内」は正しいが、b の「脆弱性」が誤り。機密性・可用性と並列に挙げるべきは情報セキュリティの三大要素の残り一つ「完全性」であり、脆弱性はそこに当てはまらない。
ここがポイント
- 情報セキュリティの三大要素 (CIA) は「機密性・完全性・可用性」。機密性と可用性が示されていれば、残りは完全性だと判断できる。
- ISMS のリスク特定 (リスクアセスメント) は、定めた適用範囲内にある情報資産を対象に行う。
用語