情報セキュリティマネジメント試験 情報資産のリスク評価・対応計画 練習問題 第5問: 製造会社の情報管理担当者は、5つの情報資産について、今週追加対策に着手する2件を選ぶ。 社内では、機密性・完全性・可用性の評価のうち最も高い値を「重要度」とし
この科目 –/11 解いた
製造会社の情報管理担当者は、5つの情報資産について、今週追加対策に着手する2件を選ぶ。 社内では、機密性・完全性・可用性の評価のうち最も高い値を「重要度」とし、重要度×被害発生可能性を「リスク値」としている。各評価は1〜3で、値が大きいほど高い。以下は業務への影響と既存対策を考慮して確定した値であり、追加の補正は行わない。
| 情報資産 | 機密性 | 完全性 | 可用性 | 被害発生可能性 |
|---|---|---|---|---|
| A 製造指示 | 3 | 1 | 1 | 1 |
| B 出荷指示 | 1 | 3 | 3 | 3 |
| C 在庫記録 | 2 | 2 | 1 | 3 |
| D 設備点検記録 | 1 | 2 | 2 | 2 |
| E 公開製品一覧 | 1 | 1 | 1 | 2 |
各資産の追加対策は承認済みで、着手費用と必要作業時間は同じである。今週の枠は2件とし、社内の計画ルールに従ってリスク値の高い順に着手する。他の制約はない。残りの資産への対応は別途計画する。 今週着手する2件の組合せはどれか。
解答と解説を先に見る
正解: 5. BとC
各資産について3つの評価の最大値を取り、被害発生可能性を掛けます。Aは3×1＝3、Bは3×3＝9、Cは2×3＝6、Dは2×2＝4、Eは1×2＝2です。高い順にB、C、D、A、Eとなり、今週の2枠はBとCです。 Aは機密性の評価が3でも、被害発生可能性を含めたリスク値はCやDより低くなります。また、Bでは機密性の1だけを使わず、完全性・可用性の3を重要度に使います。 最大値と掛け算を使う方式、費用・時間が同じこと、上位2件に着手することは、この会社の与件です。すべての組織で同じ数式だけから対応を決めるという意味ではありません。今週選ばなかった資産も、対策不要と判断したわけではありません。
関連キーワード: リスク評価・情報資産・対応の優先順位
広告