令和5年度問13

令和5年度問13科目B（事例）

事例

A 社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A 社では，図 1 の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントを行っている。

図1 情報セキュリティリスクアセスメント手順
・情報資産の機密性，完全性，可用性の評価値は，それぞれ 0〜2 の 3 段階とする。
・情報資産の機密性，完全性，可用性の評価値の最大値を，その情報資産の重要度とする。
・脅威及び脆弱性の評価値は，それぞれ 0〜2 の 3 段階とする。
・情報資産ごとに，様々な脅威に対するリスク値を算出し，その最大値を当該情報資産のリスク値として情報資産管理台帳に記載する。ここで，情報資産の脅威ごとのリスク値は，次の式によって算出する。リスク値＝情報資産の重要度×脅威の評価値×脆弱性の評価値
・情報資産のリスク値のしきい値を 5 とする。
・情報資産ごとのリスク値がしきい値以下であれば受容可能なリスクとする。
・情報資産ごとのリスク値がしきい値を超えた場合は，保有以外のリスク対応を行う

A 社の情報セキュリティリーダーである B さんは，年次の情報セキュリティリスクアセスメントを行い，結果を情報資産管理台帳に表 1 のとおり記載した。

表1 A 社の情報資産管理台帳（抜粋）
情報資産	機密性の評価値	完全性の評価値	可用性の評価値	情報資産の重要度	脅威の評価値	脆弱性の評価値	リスク値
(一) 従業員の健康診断の情報	2	2	2	（省略）	2	2	（省略）
(二) 行動規範などの社内ルール	1	2	1	（省略）	1	1	（省略）
(三) 自社 Web サイトに掲載している会社情報	0	2	2	（省略）	2	2	（省略）
(四) 分析結果の精度を向上させるために開発した技術	2	2	1	（省略）	2	1	（省略）

表 1 中の各情報資産のうち，保有以外のリスク対応を行うべきものはどれか。該当するものだけを全て挙げた組合せを，解答群の中から選べ。

正解：エ (一)，(三)

リスク値としきい値を比べて、保有以外のリスク対応が要る情報資産を選ぶ事例です。

図1の式（リスク値＝重要度×脅威×脆弱性）としきい値5、表1の評価値を読みます。重要度は機密性・完全性・可用性の最大値で、平均や合計にしないところで間違えやすいです。

図1で、重要度は機密性・完全性・可用性の最大値、リスク値は重要度×脅威×脆弱性、しきい値は5で、これを超えると保有以外の対応が必要です。
表1で計算します。(一)は重要度2、2×2×2＝8。(二)は重要度2、2×1×1＝2。(三)は重要度2（機密性は0でも完全性・可用性が2）、2×2×2＝8。(四)は重要度2、2×2×1＝4。
しきい値5を超えるのは(一)と(三)です。したがって、保有以外のリスク対応を行うべきものは (一)、(三) で、エです。

出典：令和5年度情報セキュリティマネジメント試験公開問題科目B 問13

令和5年度 問13