個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第16問: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版が紹介する4つのリスク分析の手法について、正しいものはどれか。

正解: 3. 組み合わせアプローチでよく用いられるのは、ベースラインアプローチと非形式的アプローチの組合せとされている。

同ガイドライン第4.0版のコラム「リスク分析の手法あれこれ」は、組み合わせアプローチでよく用いられるのはベースラインアプローチと非形式的アプローチの組合せとしています（3が正しい）。「5分でできる！情報セキュリティ自社診断」を参照して対策を実施するのはベースラインアプローチの例で、非形式的アプローチの例は保守ベンダー等に助言してもらい対策を実施することです（1）。情報資産ごとに資産価値・脅威・脆弱性を識別するのは資産ベースのリスク分析で、ベースラインアプローチはこれらを識別しないため簡単にできる方法とされています（2）。資産ベースのリスク分析は、STEP1〜3の汎用的な対策等だけでは対策が不足するおそれがあるとして、対策をより強固にするための方策に位置付けられています（4）。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: リスク分析・ベースラインアプローチ・非形式的アプローチ・組み合わせアプローチ・資産ベースのリスク分析