問50情報セキュリティマネジメント サンプル問題

48 / 58問

A 社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A 社では，図 1 の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントの結果をまとめている。・情報資産の機密性，完全性，可用性の評価値は，それぞれ 0〜2 の 3 段階とし，表 1 のとおりとする。・情報資産の機密性，完全性，可用性の評価値の最大値を，その情報資産の重要度とする。・脅威及び脆弱性の評価値は，それぞれ 0〜2 の 3 段階とする。・情報資産ごとに，様々な脅威に対するリスク値を算出し，その最大値を当該情報資産のリスク値として情報資産管理台帳に記載する。ここで，情報資産の脅威ごとのリスク値は，次の式によって算出する。リスク値＝情報資産の重要度×脅威の評価値×脆弱性の評価値・情報資産のリスク値のしきい値を 5 とする。・情報資産ごとのリスク値がしきい値以下であれば受容可能なリスクとする。・情報資産ごとのリスク値がしきい値を超えた場合は，保有以外のリスク対応を行うことを基本とする。図 1 情報セキュリティリスクアセスメント手順表 1 情報資産の機密性，完全性，可用性の評価基準評価値 評価基準 該当する情報の例機密性 2 法律で安全管理措置が義務付けられている。・健康診断の結果，保健指導の記録・給与所得の源泉徴収票2 取引先から守秘義務の対象として指定されている。・取引先から秘密と指定されて受領した資料・取引先の公開前の新製品情報2 自社の営業秘密であり，漏えいすると自社に深刻な影響がある。・自社の独自技術，ノウハウ・取引先リスト・特許出願前の発明情報1 関係者外秘情報又は社外秘情報である。・見積書，仕入価格など取引先や顧客との商取引に関する情報・社内規程，事務処理要領0 公開情報である。 ・自社製品カタログ，自社 Web サイト掲載情報完全性 2 法律で安全管理措置が義務付けられている。・健康診断の結果，保健指導の記録・給与所得の源泉徴収票2 改ざんされると自社に深刻な影響，又は取引先や顧客に大きな影響がある。・社内規程，事務処理要領・自社の独自技術，ノウハウ・設計データ（原本）1 改ざんされると事業に影響がある。 ・受発注情報，決済情報，契約情報・設計データ（印刷物）0 改ざんされても事業に影響はない。 ・廃版製品カタログデータ可用性 （省略）A 社は，自社の Web サイトをインターネット上に公開している。A 社の Web サイトは，自社が取り扱う分析機器の情報を画像付きで一覧表示する機能を有しており，主に A 社で販売する分析機器に関する機能の説明や操作マニュアルを掲載している。A 社で分析機器を購入した顧客は，A 社の Web サイトからマニュアルをダウンロードして利用することが多い。A 社の Web サイトは，製品を販売する機能を有していない。A 社は，年次の情報セキュリティリスクアセスメントの結果を，表 2 にまとめた。表 2 A 社の情報セキュリティリスクアセスメント結果（抜粋）情報資産名称 説明機密性評価値完全性評価値可用性評価値情報資産重要度脅威評価値脆弱性評価値リスク値社内規程行動規範や判断基準を含めた社内ルール 1 2 1 2 1 1 2設 計 デ ー タ （ 印 刷物）A 社における主力製品の設計図 (省略)自社 Web サイトにあるコンテンツ分析機器の情報 2 2 2設問 表 2 中の 〜 に入れる数値の適切な組合せを，a に関する解答群から選べ。

1. 10 0 2 8×
2. 20 1 2 8×
3. 30 2 1 4×
4. 40 2 2 8○
5. 51 0 2 4×
6. 61 1 2 8×
7. 71 2 1 4×
8. 81 2 2 8×

選択肢をえらぶと、答えと解説が出ます