問70
頻出度★★★
ISMS におけるリスク分析に関する記述として, 適切なものはどれか。
平成30年度 春期 ITパスポート試験 問70
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 70
不正解ア
リスク値は「資産価値 × 脅威 × 脆弱性」の関係でとらえるのが基本で、脅威と脆弱性のレベルが同じなら、資産価値が大きいほどリスク値も大きくなる。アは「資産価値が小さいほどリスク値は大きくなる」と大小関係が逆になっており誤り。
不正解イ
全てのリスクを一律に詳細分析するのは非現実的で、要求もされていない。システムの規模や重要度に応じて、詳細分析を行う対象と簡易な手法(ベースラインなど)で済ませる対象を使い分けるのが実務的なリスク分析であり、イは誤り。
不正解ウ
情報資産には電子データだけでなく、紙媒体の文書、人、設備なども含まれる。紙のデータも漏えい・紛失などのリスクを持つため分析対象から外してはならず、「紙媒体は対象としない」とするウは誤り。
- エ
正解 正解はエ。ISMS におけるリスク分析は、対象となる組織の実態に合った手法で行うのが原則である。守るべき情報資産の種類、想定される脅威、法規制、事業の性質などは業界・業種によって大きく異なるため、リスクの内容も一様ではない。したがって、画一的な方法をあてはめるのではなく、対象組織に適した分析手法を選んで用いる、とするエが適切である。
ここがポイント
- リスク値は「資産価値 × 脅威 × 脆弱性」でとらえ、脅威・脆弱性が同じなら資産価値が大きいほどリスク値も大きい。
- ISMS のリスク分析は対象組織・業種に適した手法を選んで行い、情報資産は電子・紙媒体を問わず分析対象とする。
用語