問13情報セキュリティマネジメント 令和5年度 公開問題

13 / 15問

A 社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A 社では，図 1 の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントを行っている。・情報資産の機密性，完全性，可用性の評価値は，それぞれ 0〜2 の 3 段階とする。・情報資産の機密性，完全性，可用性の評価値の最大値を，その情報資産の重要度とする。・脅威及び脆弱性の評価値は，それぞれ 0〜2 の 3 段階とする。・情報資産ごとに，様々な脅威に対するリスク値を算出し，その最大値を当該情報資産のリスク値として情報資産管理台帳に記載する。ここで，情報資産の脅威ごとのリスク値は，次の式によって算出する。リスク値＝情報資産の重要度×脅威の評価値×脆弱性の評価値・情報資産のリスク値のしきい値を 5 とする。・情報資産ごとのリスク値がしきい値以下であれば受容可能なリスクとする。・情報資産ごとのリスク値がしきい値を超えた場合は，保有以外のリスク対応を行う図 1 情報セキュリティリスクアセスメント手順A 社の情報セキュリティリーダーである B さんは，年次の情報セキュリティリスクアセスメントを行い，結果を情報資産管理台帳に表 1 のとおり記載した。表 1 A 社の情報資産管理台帳（抜粋）情報資産機密性評価値完全性評価値可用性評価値情報資産重要度脅威評価値脆弱性評価値リスク値(一) 従業員の健康診断の情報 2 2 2（省略）2 2（省略）(二) 行動規範などの社内ルール 1 2 1（省略）1 1（省略）(三) 自社 Web サイトに掲載している会社情報0 2 2（省略）2 2（省略）(四) 分析結果の精度を向上させるために開発した技術2 2 1（省略）2 1（省略）設問 表 1 中の各情報資産のうち，保有以外のリスク対応を行うべきものはどれか。該当するものだけを全て挙げた組合せを，解答群の中から選べ。

1. 1(一)，(二)×
2. 2(一)，(二)，(三)×
3. 3(一)，(二)，(四)×
4. 4(一)，(三)○
5. 5(一)，(三)，(四)×
6. 6(一)，(四)×
7. 7(二)，(三)×
8. 8(二)，(三)，(四)×
9. 9(二)，(四)×
10. 10(三)，(四)×

選択肢をえらぶと、答えと解説が出ます