サンプル問題（2022年12月） 問50
事例
A社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では，図1の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントの結果をまとめている。
【図1 情報セキュリティリスクアセスメント手順】
・情報資産の機密性，完全性，可用性の評価値は，それぞれ0〜2の3段階とし，表1のとおりとする。
・情報資産の機密性，完全性，可用性の評価値の最大値を，その情報資産の重要度とする。
・脅威及び脆弱性の評価値は，それぞれ0〜2の3段階とする。
・情報資産ごとに，様々な脅威に対するリスク値を算出し，その最大値を当該情報資産のリスク値として情報資産管理台帳に記載する。ここで，情報資産の脅威ごとのリスク値は，次の式によって算出する。
リスク値＝情報資産の重要度×脅威の評価値×脆弱性の評価値
・情報資産のリスク値のしきい値を5とする。
・情報資産ごとのリスク値がしきい値以下であれば受容可能なリスクとする。
・情報資産ごとのリスク値がしきい値を超えた場合は，保有以外のリスク対応を行うことを基本とする。
| 評価値 | 評価基準 | 該当する情報の例 | |
|---|---|---|---|
| 機密性 | 2 | 法律で安全管理措置が義務付けられている。 | ・健康診断の結果，保健指導の記録 ・給与所得の源泉徴収票 |
| 機密性 | 2 | 取引先から守秘義務の対象として指定されている。 | ・取引先から秘密と指定されて受領した資料 ・取引先の公開前の新製品情報 |
| 機密性 | 2 | 自社の営業秘密であり，漏えいすると自社に深刻な影響がある。 | ・自社の独自技術，ノウハウ ・取引先リスト ・特許出願前の発明情報 |
| 機密性 | 1 | 関係者外秘情報又は社外秘情報である。 | ・見積書，仕入価格など取引先や顧客との商取引に関する情報 ・社内規程，事務処理要領 |
| 機密性 | 0 | 公開情報である。 | ・自社製品カタログ，自社Webサイト掲載情報 |
| 完全性 | 2 | 法律で安全管理措置が義務付けられている。 | ・健康診断の結果，保健指導の記録 ・給与所得の源泉徴収票 |
| 完全性 | 2 | 改ざんされると自社に深刻な影響，又は取引先や顧客に大きな影響がある。 | ・社内規程，事務処理要領 ・自社の独自技術，ノウハウ ・設計データ（原本） |
| 完全性 | 1 | 改ざんされると事業に影響がある。 | ・受発注情報，決済情報，契約情報 ・設計データ（印刷物） |
| 完全性 | 0 | 改ざんされても事業に影響はない。 | ・廃版製品カタログデータ |
| 可用性 | （省略） |
A社は，自社のWebサイトをインターネット上に公開している。A社のWebサイトは，自社が取り扱う分析機器の情報を画像付きで一覧表示する機能を有しており，主にA社で販売する分析機器に関する機能の説明や操作マニュアルを掲載している。A社で分析機器を購入した顧客は，A社のWebサイトからマニュアルをダウンロードして利用することが多い。A社のWebサイトは，製品を販売する機能を有していない。
A社は，年次の情報セキュリティリスクアセスメントの結果を，表2にまとめた。
| 情報資産名称 | 説明 | 機密性の評価値 | 完全性の評価値 | 可用性の評価値 | 情報資産の重要度 | 脅威の評価値 | 脆弱性の評価値 | リスク値 |
|---|---|---|---|---|---|---|---|---|
| 社内規程 | 行動規範や判断基準を含めた社内ルール | 1 | 2 | 1 | 2 | 1 | 1 | 2 |
| 設計データ（印刷物） | A社における主力製品の設計図 | （省略） | ||||||
| 自社Webサイトにあるコンテンツ | 分析機器の情報 | a1 | a2 | 2 | a3 | 2 | 2 | a4 |
表2中のa1〜a4に入れる数値の適切な組合せを，aに関する解答群から選べ。
正解：エ a1：0／a2：2／a3：2／a4：8
ポイント
評価基準の表と計算式から、情報資産の評価値とリスク値を求める事例です。
考え方と解き方
図1の計算式と、表1の評価基準を読みます。表2の対象は自社 Web サイトのコンテンツです。機密性と完全性は、本文の説明（顧客がマニュアルを使う）から表1のどの行に当たるかを決めます。重要度は3つの評価値の最大値であることを見落としやすい所です。
- a1：表1で機密性が0の例に「自社 Web サイト掲載情報」があり、公開情報なので a1 は 0 です。
- a2：本文で Web サイトにはマニュアルが載り、顧客が機器を使うために見ます。改ざんされると顧客に大きな影響が出るので、表1の完全性が2の行に当たり、a2 は 2 です。1は事業への影響にとどまる行です。
- a3：図1で重要度は機密性、完全性、可用性の最大値です。表2で可用性が2なので、a3 は 2 です。a4：リスク値は重要度、脅威、脆弱性の評価値を掛け合わせた値で、2、2、2 を掛けて 8 です。したがって、適切な組合せは a1 が0、a2 が2、a3 が2、a4 が8 の エ です。
ほかの選択肢
- ア a2 が 0 で外れています。0は改ざんされても事業に影響がない場合で、顧客が使うマニュアルを載せる Web サイトには当たりません。a1、a3、a4 は合っています。
- イ a2 が 1 で外れています。顧客が操作に使うマニュアルの改ざんは、顧客に大きな影響を与えるので 2 です。
- ウ a3 が 1、a4 が 4 で外れています。可用性が2なので、重要度は2より小さくなりません。a1、a2 は合っています。
- オ a1 が 1 で外れています。公開情報なので 0 です。a2 が 0、a4 が 4 も、本文と式に合いません。
- カ a1 が 1 で外れています。a2 の 1 も、顧客への大きな影響を見ていません。
- キ a1 が 1 で外れています。a3 の 1 と a4 の 4 も、可用性が2であることと合いません。
- ク a1 が 1 で外れています。a2、a3、a4 は合っていますが、公開情報の機密性は 0 です。
覚えておくこと
- 情報資産の重要度は、機密性、完全性、可用性のうち最も高い評価値で決める
- 評価値は、表の評価基準にある文言に、資産の使われ方を当てはめて決める
出典：情報セキュリティマネジメント試験 サンプル問題 科目B 問50