問56
頻出度★★★
情報セキュリティに関する用語である可用性, 完全性, 機密性及び脆弱性のうち, ISMSが組織の情報資産に対して維持管理すべき特性としているものだけを全て挙げたものはどれか。
平成27年度 春期 ITパスポート試験 問56
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 56
错误ア
「可用性、完整性」漏掉了机密性。题目要求列出应当维护管理的特性中「仅有的全部」，因此三要素中只要缺少一个就是错误的。机密性是不让未获授权的人看到信息的性质，是 ISMS 的核心特性。
- イ
正解 ISMS（信息安全管理体系，JIS Q 27001）把信息安全定义为「保持信息的机密性、完整性、可用性」。这三者取首字母合称「信息安全三要素（CIA）」，是组织针对信息资产应当维护管理的特性。机密性（Confidentiality）指只有获得授权的人才能访问信息；完整性（Integrity）指信息没有被篡改或缺失，保持准确、完整；可用性（Availability）指在需要时能够使用信息和信息系统。题目给出的 4 个词中，不多不少恰好列出这三者的是「可用性、完整性、机密性」，所以正确答案是イ。另外，脆弱性（Vulnerability）是信息资产自身具有的弱点，不是要保持的东西，而是要通过对策去减少的对象。
错误ウ
「完整性、机密性」漏掉了可用性。可用性是让获得授权的用户在需要时能够使用信息资产的性质，通过设备冗余、备份、灾难对策等手段来保障。如果为了保护信息而导致信息无法使用，就不能满足 ISMS 的要求。
错误エ
「完整性、机密性、脆弱性」有双重错误：既漏掉了可用性，又把并非应当维护管理的特性的脆弱性列了进来。脆弱性是产生风险的弱点，应当通过脆弱性诊断和打安全补丁去「降低、消除」，而不是去「保持」。
ここがポイント
- 信息安全三要素（CIA）：机密性（只有获得授权的人才能访问）、完整性（没有篡改或缺失，保持准确）、可用性（需要时能够使用）。ISMS 应当维护管理的特性就是这三个。
- 脆弱性、威胁、风险不是「应当保护的特性」，而是在风险管理中评估和降低的对象。可以按「威胁利用脆弱性时风险就会显现」这一关系来整理记忆。
用語