平成30年度 春期 ITパスポート試験 問70
テクノロジ／セキュリティISMSにおけるリスク分析に関する記述として，適切なものはどれか。
出典：平成30年度 春期 ITパスポート試験 問70
- ア異なる情報資産について，脅威と脆弱性のレベルが同じであれば，その資産価値が小さいほどリスク値は大きくなる。
- イシステムの規模や重要度にかかわらず，全てのリスクを詳細に分析しなければならない。
- ウ電子データは分析の対象とするが，紙媒体のデータは対象としない。
- エリスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。
正解：エ
解説
リスクの大きさは，一般に資産価値，脅威，脆弱性の組合せで評価されます。リスクの内容は業界や業種，組織の状況によって異なるので，対象とする組織に適した分析手法を選んで用いるのが適切です。資産価値が小さければリスク値も小さくなり，また紙媒体の情報も保護すべき情報資産に含まれます。
選択肢ごとの解説
- ア誤り。脅威と脆弱性が同じなら，資産価値が小さいほどリスク値は小さくなります。
- イ誤り。全てを詳細に分析するのではなく，システムの規模や重要度に応じた分析を行います。
- ウ誤り。紙媒体の情報も情報資産であり，リスク分析の対象に含めます。
- エ正しい。組織の業種や状況に応じた適切な分析手法を選んで用います。