情報セキュリティ
基本情報技術者試験｜C社では、情報セキュリティリスクの洗い出しを担当者が思いつくままに列挙していたため、部署や情報資産によって洗い出…
C社では、情報セキュリティリスクの洗い出しを担当者が思いつくままに列挙していたため、部署や情報資産によって洗い出しの深さにばらつきが生じ、重要なリスクの見落としが疑われている。リスク特定の網羅性を高める進め方として、最も適切なものはどれか。
ア実際に被害が出た実績のあるリスクに対象を絞って一覧化する。
イ担当者の経験に任せ、思いついたリスクをそのつど書き足す。
ウ他社で報告された事例を写し取り、自社資産との対応付けは省く。
エ資産台帳を起点に、各資産の脅威と弱点を一つずつ突き合わせて拾う。
正解
エ．資産台帳を起点に、各資産の脅威と弱点を一つずつ突き合わせて拾う。
リスク特定では『守るべき情報資産』を起点に、それぞれが直面する脅威と内在する脆弱性を体系的に組み合わせて洗い出すことで網羅性が高まる。資産の棚卸しを土台に脅威・脆弱性を突き合わせれば、担当者の主観に依存せず見落としを減らせる。
?選択肢ごとの解説
ア ×過去に被害が出たリスクだけに絞ると、まだ顕在化していない潜在的・新規のリスクを取りこぼし、網羅性をむしろ損なう。
イ ×思いつきでの追記は担当者の経験や関心に左右され、部署や資産による深さのばらつきという現状の問題を解消できない。
ウ ×他社事例の転記は参考にはなるが、自社資産との対応付けを省けば自社固有のリスクを捉えられず、網羅性を担保できない。
エ ○リスク特定では『守るべき情報資産』を起点に、それぞれが直面する脅威と内在する脆弱性を体系的に組み合わせて洗い出すことで網羅性が高まる。資産の棚卸しを土台に脅威・脆弱性を突き合わせれば、担当者の主観に依存せず見落としを減らせる。
情報セキュリティの他の問題
H社では、めったに発生しないが発生すれば極めて大きな損害となる災害リスクについて検討している。自社で対策設備を整えるには多額…D社では特定したリスクについて、対応の優先順位を付けるための分析を行おうとしている。担当者から『各リスクの大きさをどう見積も…E社では、分析を終えた多数のリスクについて、どれから優先して対応するかを決める段階に入った。経営層からは『すべてに対応する予…F社は、あるリスクに対し技術的・運用的な低減策を実施した結果、リスクレベルが受容基準を下回る水準まで下がった。それでもなお、…G社の情報セキュリティ文書は、経営層が定めた『当社は情報資産を適切に保護する』という基本方針と、『パスワードは規定の方法で管…H社では全社員に同一内容のセキュリティeラーニングを年1回実施しているが、開発者からは『業務に直結する内容が乏しい』、新入社…I社では情報資産を機密度に応じて『極秘・社外秘・公開』の三段階に格付けする制度を整えた。次の運用として、格付け制度を実効ある…J社は新たにクラウド型の業務システムを外部事業者へ委託するにあたり、複数の候補事業者から1社を選定しようとしている。委託先の…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0135