重要度：A 論点：脅威と脆弱性
問11：脅威は組織やシステムに存在する弱点を指し、脆弱性はその弱点を悪用して損害を生じさせる潜在的な要因を指す。
解答を見る
×：説明が逆である。脅威は損害を生じさせる可能性のある原因や事象であり、脆弱性は脅威に悪用され得る組織・人・技術・物理環境などの弱点である。
重要度：A 論点：リスクの成り立ち
問12：リスクは、脅威が脆弱性を突くことによって情報資産に損失が生じる可能性として捉えられる。
解答を見る
○：情報資産・脅威・脆弱性の関係からリスクを捉える考え方であり、リスクアセスメントはこの関係の分析を出発点にする。
重要度：B 論点：情報資産の範囲
問13：情報資産とは、電子ファイルやデータベースに保存された情報だけを指し、紙文書、機器、サービス及び業務上のノウハウは含まれない。
解答を見る
×：情報資産は電子データだけに限られない。紙文書、ソフトウェア、機器、ネットワーク、外部サービス、業務手順、知識など、組織にとって価値があり保護すべき対象が含まれ得る。
重要度：B 論点：脅威の種類
問14：情報セキュリティ上の脅威には、悪意ある攻撃だけでなく、誤操作、機器の故障、火災や地震なども含まれる。
解答を見る
○：脅威には、攻撃者による不正行為のほか、過失、誤操作、故障、災害、盗難なども含まれる。原因が故意であるかどうかにかかわらず、情報資産へ損害を与える可能性があれば対象となる。
重要度：B 論点：シャドーIT
問15：シャドーITとは、情報システム部門が従業員の端末を遠隔から監視するために導入する仕組みのことである。
解答を見る
×：シャドーITは、従業員や部門が組織の承認や管理を経ずに業務で利用するIT機器、ソフトウェア、クラウドサービスなどを指す。組織による把握や管理が行き届かず、脆弱な設定、更新漏れ、情報漏えいなどのリスクを高める。
コメント