個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第25問: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版の資産ベースのリスク分析では、情報資産ごとに機密性・完全性・可用性を3〜1の評価値で評価し、その評

正解: 3. 3つの評価値の最大値とする

同ガイドライン第4.0版の資産ベースのリスク分析は、手順1で情報資産ごとに機密性・完全性・可用性の評価値（3〜1）を記入し、重要度は機密性、完全性、可用性いずれかの最大値で判断するとしています（3が正しい）。合計値・平均値・中央値で算定するとはされていません（1・2・4）。なお、事故が起きると法的責任を問われるなど企業の存続を左右しかねない場合や、個人情報を含む場合は、算定結果に関わらず重要度は3とします。手順2では、リスク値を重要度と被害発生可能性の掛け算で算定し、9〜6を大、4を中、3〜1を小とします。

根拠・参照資料: 独立行政法人情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン」第4.0版 第2部4（1）資産ベースのリスク分析 手順1・手順2

関連キーワード: 資産ベースのリスク分析・重要度・機密性・リスク値・被害発生可能性