情報資産のリスク評価・対応計画

受注部門が、日常業務で扱う情報の管理台帳を作り直す。調査すると、注文内容は電子ファイル、顧客が承認した変更内容は紙の変更票で保管されており、出荷前には両方を照合していた。 旧台帳にはパソコンとプリンタの機種名だけがあり、注文ファイルや変更票の記載はなかった。紙の変更票は入力後も照合に使うため、保管を継続する。社内方針では、業務で扱う情報ごとに用途、保管場所、管理責任者を明確にする。 この方針に沿う台帳の見直しとして、最も適切なものはどれか。

製品の加工条件を記した電子データについて、製造部門が二つの事故を想定した。いずれも情報の外部流出は起きないものとする。 事故A：担当者がデータを開くことはできるが、加工温度が誤った値に書き換わり、その値で製造すると不良品が生じる。 事故B：記録された値は正しいままだが、必要な作業時間帯にデータを開けず、製造を開始できない。 事故A、事故Bでそれぞれ直接損なわれる情報の特性を、正しく対応させたものはどれか。

設計部門は作業用データのコピーを毎日保存している。点検では、作業用データとコピーの両方を、通常の作業アカウントで書き換えたり削除したりできることが確認された。 担当者は「このアカウントの権限でマルウェアが動作し、作業用データとコピーを両方破損させると、設計作業を再開するためのデータを復元できなくなる」というリスクを記録した。ここでは、マルウェアがその権限で動作した場合を想定し、他の独立した復元用コピーはないものとする。 この記録から、脅威、脆弱性、業務への影響を正しく区別したものはどれか。

販売部門は、二つの情報資産A・Bについて追加対策の優先順位を決めようとしている。社内方式は、事故が業務へ与える影響の評価値と、被害発生可能性の評価値を掛けてリスク値を求め、高い方から対応を検討するものである。 今回の調査では、被害発生可能性だけが評価済みで、Aは3、Bは2だった。どちらも数値が大きいほど発生可能性が高い。一方、業務への影響はまだ評価しておらず、両者が同じとも確認していない。担当者は「3は2より大きいので、追加調査をせずAを優先と確定できる」と報告した。 この報告への対応として、最も適切なものはどれか。

製造会社の情報管理担当者は、5つの情報資産について、今週追加対策に着手する2件を選ぶ。 社内では、機密性・完全性・可用性の評価のうち最も高い値を「重要度」とし、重要度×被害発生可能性を「リスク値」としている。各評価は1〜3で、値が大きいほど高い。以下は業務への影響と既存対策を考慮して確定した値であり、追加の補正は行わない。 A 製造指示：機密性3、完全性1、可用性1、被害発生可能性1 B 出荷指示：機密性1、完全性3、可用性3、被害発生可能性3 C 在庫記録：機密性2、完全性2、可用性1、被害発生可能性3 D 設備点検記録：機密性1、完全性2、可用性2、被害発生可能性2 E 公開製品一覧：機密性1、完全性1、可用性1、被害発生可能性2 各資産の追加対策は承認済みで、着手費用と必要作業時間は同じである。今週の枠は2件とし、社内の計画ルールに従ってリスク値の高い順に着手する。他の制約はない。残りの資産への対応は別途計画する。 今週着手する2件の組合せはどれか。

物流部門は、受注データが利用できなくなるリスクへの対応を選ぶ。社内で採用した評価方法では、現在のリスク値は9である。今回の選定基準は、費用が20万円以下、対策後のリスク値が4以下であることの両方を満たすことである。 担当者は、同じ対象・同じ評価方法・同じ期間で、次の3案を評価済みである。 A案：費用10万円、対策後のリスク値6。 B案：費用18万円、対策後のリスク値3。 C案：費用25万円、対策後のリスク値2。 各案は単独で採用するものとし、組合せや分割実施は行わない。他の選定条件はなく、承認時には今回の二つの基準を変えない。今回採用できる案はどれか。

部門の責任者が、外部向けに実施している任意の情報提供サービスのリスク対応を検討している。会社では対応の考え方を、原因となる活動をやめる「回避」、対策によって発生可能性や影響を小さくする「低減」、契約などで損失の負担を他者と分ける「共有」、評価したリスクを認識して引き受ける「保有」に整理している。 今回の候補は、次の二つである。 A案：その任意サービスを終了し、このサービスを実施することに由来するリスクの原因をなくす。 B案：サービスは継続するが、契約で定めた事故の金銭的損失の一部を他社が負担する仕組みを利用する。B案自体は事故の発生可能性を変えない。 会社の整理に照らして、A案とB案を正しく分類したものはどれか。

ある部門が、別々に評価した二つのリスクA・Bへの対応を決定した。 Aについては、誤った変更が本番データへ反映される可能性を下げるため、変更内容の確認工程を追加する。この工程の狙いは発生可能性の低下であり、対象業務の廃止や他社への損失負担の分担は行わない。 Bについては、現在の対策を含めてリスクを評価し、社内の受容基準内であることを確認した。受容の権限を持つ責任者が内容を認識したうえで、現状を維持することを承認し、判断を記録した。Bの追加対策は行わない。 Aの確認工程の追加と、Bの承認された現状維持について、対応の考え方を正しく表したものはどれか。

開発部門は、承認した「復元手順の整備」をリスク対応計画に記載する。部門の計画ルールでは、実施項目、必要な資源、責任者、完了予定日、結果の評価方法をそろえてから着手する。 今回の評価条件は、隔離した検証環境で指定データを復元し、責任者が内容の一致と所定の業務操作ができることを確認することである。担当者を確保できることと費用の承認は、以下の全案で満たしている。 このルールと評価条件を満たす記載はどれか。

運用部門は、承認済みの追加対策A・B・Cを今週の実施計画へ割り当てる。優先順位と必要作業時間は、Aが1位で4時間、Bが2位で3時間、Cが3位で2時間である。 今週使える作業時間は合計7時間で、各対策は必要時間をまとめて確保し、途中までの実施や他週との分割は行わない。社内ルールは、上位の対策から順に時間を割り当て、残り時間で次の対策を完了できる限り割当てを続けることである。 作業環境と担当者は確保済みで、対策間の依存関係はない。割り当てた対策は今週金曜日までに担当責任者が実施し、各対策の承認済み評価方法で結果を確認する。未実施の対策は、次週以降の計画対象として残す。 このルールに沿う今週の計画はどれか。

保守部門は、重要な記録の誤削除に備える対応を進めている。社内計画では「保存処理の設定」と「復元確認」を別の作業として管理し、復元した内容の一致と業務での利用を確認してから、この対応を有効と判定する。 週次報告には、保存処理の設定が完了し、実行ログにも成功が記録されていた。一方、復元確認は担当者の都合で未実施だった。元の計画には復元確認の責任者と期限があり、今週中に実施する予定である。他の確認方法で代替した事実はない。 現時点の評価と進め方として、最も適切なものはどれか。