情報セキュリティ
基本情報技術者試験｜D社では特定したリスクについて、対応の優先順位を付けるための分析を行おうとしている。担当者から『各リスクの大きさ…
D社では特定したリスクについて、対応の優先順位を付けるための分析を行おうとしている。担当者から『各リスクの大きさをどう見積もればよいか』と相談があった。リスク分析におけるリスクの大きさの見積り方として、最も適切なものはどれか。
ア対策にかかる費用が高いものほど大きいリスクとして見積もる。
イ起こりやすさと、起きたとき痛手の大きさとを掛け合わせる。
ウ担当部署からの報告件数が多いものほど大きいと見積もる。
エ対策の有無を問わず、すべてを同じ大きさのものとして扱う。
正解
イ．起こりやすさと、起きたとき痛手の大きさとを掛け合わせる。
リスク分析では、各リスクの大きさを『発生可能性（頻度・起こりやすさ）』と『影響度（顕在化した際の被害の重大さ）』の二軸を組み合わせて算定する。両者を段階評価して掛け合わせるなどしてリスクレベルを求めれば、客観的に優先順位を比較できる。
?選択肢ごとの解説
ア ×対策費用はリスク対応の判断材料ではあるが、リスクそのものの大きさ（可能性×影響度）を表す指標ではない。
イ ○リスク分析では、各リスクの大きさを『発生可能性（頻度・起こりやすさ）』と『影響度（顕在化した際の被害の重大さ）』の二軸を組み合わせて算定する。両者を段階評価して掛け合わせるなどしてリスクレベルを求めれば、客観的に優先順位を比較できる。
ウ ×報告件数の多さは関心や検知のしやすさを反映するに過ぎず、影響度を含むリスクの大きさを正しく表さない。
エ ×すべてを同一の大きさと扱うと優先順位が付けられず、限られた資源を重大なリスクへ重点配分する分析の目的を果たせない。
情報セキュリティの他の問題
E社では、分析を終えた多数のリスクについて、どれから優先して対応するかを決める段階に入った。経営層からは『すべてに対応する予…F社は、あるリスクに対し技術的・運用的な低減策を実施した結果、リスクレベルが受容基準を下回る水準まで下がった。それでもなお、…G社の情報セキュリティ文書は、経営層が定めた『当社は情報資産を適切に保護する』という基本方針と、『パスワードは規定の方法で管…H社では全社員に同一内容のセキュリティeラーニングを年1回実施しているが、開発者からは『業務に直結する内容が乏しい』、新入社…I社では情報資産を機密度に応じて『極秘・社外秘・公開』の三段階に格付けする制度を整えた。次の運用として、格付け制度を実効ある…J社は新たにクラウド型の業務システムを外部事業者へ委託するにあたり、複数の候補事業者から1社を選定しようとしている。委託先の…K社ではISMSの内部監査を実施するにあたり、監査員の人選を検討している。監査対象には情報システム部の運用業務が含まれる。内…L社の経営層は『当社のセキュリティ対策は他社と比べてどの水準にあり、次に何へ投資すべきか分からない』と感じている。場当たり的…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0136