情報セキュリティ
基本情報技術者試験｜E社では、分析を終えた多数のリスクについて、どれから優先して対応するかを決める段階に入った。経営層からは『すべて…
E社では、分析を終えた多数のリスクについて、どれから優先して対応するかを決める段階に入った。経営層からは『すべてに対応する予算はない』と言われている。リスク評価の段階で行うべきこととして、最も適切なものはどれか。
ア算定した大きさを許容のものさしに照らし要否と順位を切り分ける。
イ予算で対応できる件数だけを、大きさを見ずに先着順で選ぶ。
ウ各リスクへの具体的な対策を実装し、効き目を一つずつ確かめておく。
エ資産ごとに脅威と脆弱性を新たに洗い出して追加で拾い上げていく。
正解
ア．算定した大きさを許容のものさしに照らし要否と順位を切り分ける。
リスク評価は、リスク分析で得たリスクレベルを、組織があらかじめ定めた受容基準（ここまでは許容するという閾値）と照合し、対応すべきリスクと放置できるリスクを切り分け、優先順位を決定する段階である。予算制約下での重点配分の判断根拠となる。
?選択肢ごとの解説
ア ○リスク評価は、リスク分析で得たリスクレベルを、組織があらかじめ定めた受容基準（ここまでは許容するという閾値）と照合し、対応すべきリスクと放置できるリスクを切り分け、優先順位を決定する段階である。予算制約下での重点配分の判断根拠となる。
イ ×リスクレベルを見ずに先着順で選ぶのは評価の役割を放棄するもので、重大なリスクを後回しにする危険があり不適切である。
ウ ×具体的な対策の実装と効果確認はリスク対応（後続段階）であり、対応の要否と優先順位を決めるリスク評価とは段階が異なる。
エ ×脅威・脆弱性を洗い出しリスクを追加特定するのはリスク特定（前段階）であり、評価の段階で行う作業ではない。
情報セキュリティの他の問題
F社は、あるリスクに対し技術的・運用的な低減策を実施した結果、リスクレベルが受容基準を下回る水準まで下がった。それでもなお、…G社の情報セキュリティ文書は、経営層が定めた『当社は情報資産を適切に保護する』という基本方針と、『パスワードは規定の方法で管…H社では全社員に同一内容のセキュリティeラーニングを年1回実施しているが、開発者からは『業務に直結する内容が乏しい』、新入社…I社では情報資産を機密度に応じて『極秘・社外秘・公開』の三段階に格付けする制度を整えた。次の運用として、格付け制度を実効ある…J社は新たにクラウド型の業務システムを外部事業者へ委託するにあたり、複数の候補事業者から1社を選定しようとしている。委託先の…K社ではISMSの内部監査を実施するにあたり、監査員の人選を検討している。監査対象には情報システム部の運用業務が含まれる。内…L社の経営層は『当社のセキュリティ対策は他社と比べてどの水準にあり、次に何へ投資すべきか分からない』と感じている。場当たり的…A社では、夜間バッチで数十GBに及ぶ業務データを社内ストレージへ暗号化保存する処理を新設する。鍵は社内のバッチサーバだけが扱…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0137