重要度：B
問16：ベースラインアプローチによるリスク分析の特徴として、最も適切なものはどれか。
- A：一定の対策基準と比較するため、少ない手間で標準的な水準を確保しやすい
- B：資産・脅威・脆弱性を個別に見積もるため、固有のリスクを精密に把握できる
- C：担当者の経験に基づくため、分析の結果が属人的になりやすい
- D：重要システムだけを対象とするため、全社の分析には使えない
【第16問：正解と解説】
正解：A
・A
正しい。既定の水準との比較で進めるため効率的だが、個々のシステム固有のリスクは把握しにくい。
・B
個別の見積りは詳細リスク分析の特徴である。
・C
経験と知見に基づくのは非形式的アプローチの特徴である。
・D
むしろ全社に一律の水準を適用しやすい手法であり、説明が逆である。
重要度：B
問17：定性的リスク分析の説明として、最も適切なものはどれか。
- A：リスクの大きさを必ず金銭的な損失額へ換算して比較する方法である
- B：発生可能性や影響を高・中・低の段階で評価し、優先順位付けに使う
- C：発生可能性は考慮せず、影響の大きさだけを段階評価する
- D：評価結果の高・中・低は、組織の基準に関係なく共通の意味を持つ
【第17問：正解と解説】
正解：B
・A
金額換算を基本とするのは定量的分析である。定性的分析は段階評価などの尺度を用いる。
・B
正しい。正確な金銭データが不足する場合でも、共通の尺度と基準を定めてリスクを比較できる。
・C
定性的分析でも、発生可能性と影響の両方を組み合わせてリスクの大きさを評価する。
・D
高・中・低の意味は組織が定めた基準に依存するため、基準の定義と関係者間の共有が必要である。
重要度：C
問18：リスク受容基準の設定方法として、最も適切なものはどれか。
- A：評価の結果を見た後で、受容したいリスクに合わせて基準を毎回変更する
- B：部門ごとに異なる評価の尺度を認め、部門間の比較方法は定めない
- C：事業目的や法令を踏まえ、評価前に一貫した基準を定めて承認を得る
- D：他社が公表している基準を、内容の確認をせずにそのまま使用する
【第18問：正解と解説】
正解：C
・A
評価結果に合わせた恣意的な変更は、一貫性と客観性を損なう。
・B
尺度が部門ごとに異なるだけでは、全社でリスクを比較して優先順位を付けられない。共通の基準又は換算方法が必要である。
・C
正しい。組織の状況と要求事項に基づく基準を事前に定め、同じ方法で評価できるようにする。
・D
他社と自社では、事業、法令、資産、リスク選好などが異なるため、そのまま適用できるとは限らない。
重要度：C
問19：A社は、顧客情報の漏えいリスクに対する管理策の実施を決定した。リスク対応計画に記載する内容として、最も適切なものはどれか。
- A：実施する管理策の名称と導入費用を記載し、実施後の評価方法は運用が始まってから検討する
- B：対応の完了後に実績を基に作成し、計画の段階では責任者や完了時期を定めない
- C：管理策の技術仕様を詳細に記載し、実施の体制や時期は関係者間の口頭調整に委ねる
- D：実施項目、必要な資源、責任者、完了予定時期、実施結果の評価方法を記載する
【第19問：正解と解説】
正解：D
・A
費用だけでなく、必要な資源、体制、時期、効果の確認方法まで定めて初めて計画として機能する。
・B
計画は対応の実施前に作成し、責任者と期限を定めて進捗を管理するための文書である。
・C
体制と時期を文書化しなければ、進捗の管理も関係者間の共通理解も維持できない。
・D
正しい。リスク対応計画には、実施項目、必要な資源、責任者、完了予定時期、実施結果の評価方法などを記載する。
重要度：C
問20：A社は事業統合によって新しい拠点とクラウド基盤を引き継いだ。既存のリスク評価への対応として、最も適切なものはどれか。
- A：昨年のリスク評価の結果をそのまま使用し、統合による変更内容は確認しない
- B：統合後に実際のインシデントが起きるまでは、リスクの再評価は行わない
- C：新たな資産、接続関係、委託先を確認して影響を受けるリスクを再評価する
- D：統合先の評価基準と自社の基準を併存させ、資産ごとにどちらを使うかは定めない
【第20問：正解と解説】
正解：C
・A
環境が変われば脅威、脆弱性、影響度も変わるため、前年の結果だけでは不十分である。
・B
事後対応だけでは、事前に管理策を検討できない。
・C
正しい。組織やシステムの変更に伴う新しいリスクを特定し、既存リスクも必要に応じて再分析・評価する。
・D
基準が併存したままでは評価結果を比較できない。基準の統一又は換算方法の整理が必要である。
コメント