情報セキュリティマネジメント 情報資産・リスクマネジメント 択一式（応用） 第11問〜第15問

正解：C

・A
暗号化の未実施は技術的要因、持出し規程の未整備は組織的要因、持出し手順の不徹底は人的要因、保管設備の不足は物理的要因であり、対応が全て異なる。

・B
保管設備の不足は物理的要因、暗号化の未実施は技術的要因、持出し規程の未整備は組織的要因、持出し手順の不徹底は人的要因であり、対応が全て異なる。

・C
正しい。持出し規程の未整備は組織的要因、持出し手順の不徹底は人的要因、保管設備の不足は物理的要因、暗号化の未実施は技術的要因に当たる。管理策の4分類と同じ四つの観点名を用いるが、ここでは対策ではなくリスク要因を分類している。

・D
持出し手順の不徹底は人的要因、保管設備の不足は物理的要因、暗号化の未実施は技術的要因、持出し規程の未整備は組織的要因に当たる。

正解：B

・A
リスク評価は、分析結果をリスク基準と比較して対応の必要性を判断する段階である。

・B
正しい。脅威、脆弱性、発生可能性、影響を用いてリスクの大きさを把握する作業は、主にリスク分析に当たる。

・C
リスク対応は、分析・評価したリスクに対して管理策や対応方法を決める段階である。

・D
リスク特定は、組織の目的に影響し得るリスクを洗い出し、その内容を認識・記述する段階である。設問では、特定した脅威や脆弱性について影響と発生可能性を見積もっているため、主にリスク分析に当たる。

正解：D

・A
二つの値を加算する基準ではないため、8にはならない。

・B
発生可能性4と影響度4の積は12ではない。掛け合わせの計算を誤っている。

・C
積を14とするのは計算誤りである。二つの値の積は16になる。

・D
正しい。4×4＝16であり、基準の15以上を満たすため「重大」と判定する。

正解：A

・A
正しい。300万円×0.2回／年＝60万円／年である。見積りに用いた損失額と発生頻度の妥当性も併せて確認する。

・B
年間発生頻度0.5回を用いた場合の値であり、問題の前提と異なる。

・C
1回当たりの損失額であり、年間発生頻度を反映していない。

・D
300万円を2倍した値であり、年間発生頻度0.2を用いていない。

正解：D

・A
損失低減額は200万円－50万円＝150万円であり、50万円ではない。

・B
対策前の損失と費用を単純に加える計算ではない。

・C
50万円は対策後に残る年間予想損失額であり、対策の経済的効果ではない。

・D
正しい。年間の期待損失を150万円減らし、費用が80万円なので、単純比較では70万円の正の効果である。ただし法令や信用など金銭以外の要因も判断に含める。