問68
頻出度★★★
資産A～Dの資産価値，脅威及び脆弱性の評価値が表のとおりであるとき，最優先でリスク対応するべきと評価される資産はどれか。ここで，リスク値は，表の各項目を重み付けせずに掛け合わせることによって算出した値とする。
| 資産名 | 資産価値 | 脅威 | 脆弱性 |
|---|---|---|---|
| 資産A | 5 | 2 | 3 |
| 資産B | 6 | 1 | 2 |
| 資産C | 2 | 2 | 5 |
| 資産D | 1 | 5 | 3 |
平成31年度 春期 ITパスポート試験 問68
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 68
- ア
正解 リスク値は各項目を重み付けせずに掛け合わせた値なので、リスク値=資産価値×脅威×脆弱性 で計算する。各資産のリスク値は、資産A=5×2×3=30、資産B=6×1×2=12、資産C=2×2×5=20、資産D=1×5×3=15 となる。最も大きいのは資産Aの30であり、リスク値が最も高い資産を最優先でリスク対応すべきなので、答えは資産A(ア)である。
不正解イ
資産Bは資産価値が6と最大だが、脅威が1と低いためリスク値は6×1×2=12にとどまり、4資産の中で最小級。単独の資産価値ではなく積(リスク値)で評価するので最優先ではない。
不正解ウ
資産Cは脆弱性が5と最も高いが、資産価値が2と低いためリスク値は2×2×5=20。資産Aの30に次ぐ2番目で、最優先ではない。
不正解エ
資産Dは脅威が5と最も高いが、資産価値が1と最小のためリスク値は1×5×3=15。資産Aの30より小さく、最優先ではない。
ここがポイント
- リスク値=資産価値×脅威×脆弱性(重み付けなしの積)で求め、値が最大の資産を最優先でリスク対応する。
- 単一項目(資産価値だけ・脅威だけ・脆弱性だけ)の大小で判断せず、3項目の積で総合評価する点が要点。
用語