重要度：A
問1：顧客名簿について、機密性・完全性・可用性の3つの側面から影響の大きさを判定し、取扱いの区分を決めた。この作業に当たるものはどれか。
- A：リスクの分析と評価
- B：情報資産の重要度評価
- C：リスクの特定と洗出し
- D：リスク対応の選択
【第1問：正解と解説】
正解：B
・A
リスク評価は、分析したリスクをリスク基準と比較して対応の要否を判断する作業である。
・B
正しい。情報資産そのものに対する評価が重要度評価であり、リスクに対する評価とは区別する。
・C
リスク特定は、資産に対する脅威と脆弱性の組合せからリスクを洗い出す作業である。
・D
リスク対応は、評価の結果に基づいて回避・低減・共有・保有を選ぶ活動である。
重要度：A
問2：工場の生産指示データは社外秘ではないが、停止又は誤った内容への変更によって生産ラインへ大きな影響が出る。情報資産の価値評価として、最も適切なものはどれか。
- A：機密性だけでなく、完全性と可用性も高く評価する必要がある
- B：社外秘の指定がないので、三つの側面を全て低く評価する
- C：利用者数が少ないので、価値評価の対象外とする。
- D：紙に印刷して保管できるので、電子データとしての価値は低い
【第2問：正解と解説】
正解：A
・A
正しい。公開範囲が広くても、誤りや利用不能が重大な業務影響を生じさせる場合は、完全性や可用性を高く評価する。
・B
機密区分だけで資産価値を決めると、完全性や可用性に関する重要なリスクを見落とす。
・C
利用者数の少なさは、業務影響が小さいことを意味しない。
・D
媒体が異なっても、業務に必要な情報としての価値は失われない。
重要度：B
問3：営業部が外部のSaaSを利用して顧客対応業務を開始した。情報資産の洗出しとして、最も適切なものはどれか。
- A：会社が所有し社内に設置しているPCとサーバだけを登録の対象にする
- B：機密区分が最上位に指定された電子ファイルだけを登録の対象にする
- C：顧客データ、SaaSのアカウント、利用端末、外部への依存関係を確認する
- D：SaaS上のデータは事業者の管理対象なので、自社の台帳には登録しない
【第3問：正解と解説】
正解：C
・A
所有権のある機器だけでは、業務で利用する情報や外部サービスを把握できない。
・B
機密性が低い資産でも、改ざんや利用不能が業務へ大きな影響を与える場合がある。
・C
正しい。情報資産は、データ、アカウント、端末、文書、業務上の知識や外部サービスなど、業務を支える対象を幅広く確認する。
・D
外部サービス上のデータも自社の情報資産であり、責任分界を踏まえて把握する必要がある。
重要度：B
問4：A社では、情報資産の業務上の利用目的と取扱条件を決める者を管理責任者と定めている。営業部が日常業務で利用する顧客名簿について、管理責任者として最も適切な者はどれか。
- A：名簿の保管サーバを運用する情報システム部門の担当者
- B：全ての情報資産を一括して管理する経営者
- C：名簿を業務で取り扱う営業部門の責任者
- D：名簿の入力業務を請け負う委託先の担当者
【第4問：正解と解説】
正解：C
・A
サーバ運用担当者は保管環境の技術的管理を担うことがあるが、顧客名簿の業務上の利用目的や取扱条件を決める者とは限らない。
・B
経営者が組織全体について最終的な責任を負うことはあるが、この設問の定義では、顧客名簿の利用実態を把握し、利用目的と取扱条件を決める営業部門の責任者が適切である。
・C
正しい。資産の内容と利用実態を把握している利用部門の責任者が、管理責任者として適切である。
・D
委託先が契約に基づいて運用上の管理を担うことはあるが、自社の顧客名簿について業務上の利用目的と取扱条件を決める管理責任者としては適切でない。
重要度：B
問5：オンプレミスのファイルサーバをクラウドストレージへ移行した。情報資産台帳の更新として、最も適切なものはどれか。
- A：保存しているデータの内容が同じであれば、台帳は変更しない
- B：保存場所、利用サービス、委託関係などの変更点を台帳へ反映する
- C：旧サーバの行だけを台帳から削除し、クラウド上の資産は登録しない
- D：クラウド事業者が環境を管理するので、自社の台帳からは全て削除する
【第5問：正解と解説】
正解：B
・A
保存内容が同じでも、場所、アクセス経路、責任分界、委託関係などが変わればリスクも変化する。
・B
正しい。資産の実態と台帳を一致させ、外部サービス利用に伴う管理情報も反映する。
・C
クラウド上のデータやサービス利用も、組織が管理すべき情報資産に含まれ得る。
・D
クラウド利用によって、利用組織の管理責任が全てなくなるわけではない。
コメント