情報セキュリティマネジメント試験 令和5年度 公開問題、全15問のうちの問13。
出典：令和5年度 情報セキュリティマネジメント試験 科目A・B 公開問題 問13（図 1 は枠を外して 1 行ずつの文にした。表 1 は原本の画像を文字に書き起こし、狭い画面で読めるよう評価値、重要度、リスク値の 7 列を各欄の値として 1 つの欄にまとめた。原本の振り仮名は省いた）
A 社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A 社では，図 1 の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントを行っている。
図 1 情報セキュリティリスクアセスメント手順
・情報資産の機密性，完全性，可用性の評価値は，それぞれ 0〜2 の 3 段階とする。
・情報資産の機密性，完全性，可用性の評価値の最大値を，その情報資産の重要度とする。
・脅威及び脆弱性の評価値は，それぞれ 0〜2 の 3 段階とする。
・情報資産ごとに，様々な脅威に対するリスク値を算出し，その最大値を当該情報資産のリスク値として情報資産管理台帳に記載する。ここで，情報資産の脅威ごとのリスク値は，次の式によって算出する。
リスク値＝情報資産の重要度×脅威の評価値×脆弱性の評価値
・情報資産のリスク値のしきい値を 5 とする。
・情報資産ごとのリスク値がしきい値以下であれば受容可能なリスクとする。
・情報資産ごとのリスク値がしきい値を超えた場合は，保有以外のリスク対応を行う
A 社の情報セキュリティリーダーである B さんは，年次の情報セキュリティリスクアセスメントを行い，結果を情報資産管理台帳に表 1 のとおり記載した。
表 1 A 社の情報資産管理台帳（抜粋）| 情報資産 | 各欄の値 |
|---|
| （一） 従業員の健康診断の情報 | 機密性の評価値 2，完全性の評価値 2，可用性の評価値 2，情報資産の重要度 （省略），脅威の評価値 2，脆弱性の評価値 2，リスク値 （省略） |
| （二） 行動規範などの社内ルール | 機密性の評価値 1，完全性の評価値 2，可用性の評価値 1，情報資産の重要度 （省略），脅威の評価値 1，脆弱性の評価値 1，リスク値 （省略） |
| （三） 自社 Web サイトに掲載している会社情報 | 機密性の評価値 0，完全性の評価値 2，可用性の評価値 2，情報資産の重要度 （省略），脅威の評価値 2，脆弱性の評価値 2，リスク値 （省略） |
| （四） 分析結果の精度を向上させるために開発した技術 | 機密性の評価値 2，完全性の評価値 2，可用性の評価値 1，情報資産の重要度 （省略），脅威の評価値 2，脆弱性の評価値 1，リスク値 （省略） |
設問 表 1 中の各情報資産のうち，保有以外のリスク対応を行うべきものはどれか。該当するものだけを全て挙げた組合せを，解答群の中から選べ。
- ア（一），（二）
- イ（一），（二），（三）
- ウ（一），（二），（四）
- エ（一），（三）
- オ（一），（三），（四）
- カ（一），（四）
- キ（二），（三）
- ク（二），（三），（四）
- ケ（二），（四）
- コ（三），（四）
答えと解説を開く
正解はエです。
まず図 1 のとおり、各情報資産の重要度を、機密性、完全性、可用性の評価値の最大値として求めます。(一) は 2、2、2 で重要度 2、(二) は 1、2、1 で重要度 2、(三) は 0、2、2 で重要度 2、(四) は 2、2、1 で重要度 2 です。次に、リスク値＝重要度×脅威の評価値×脆弱性の評価値で計算します。(一) は 2×2×2＝8、(二) は 2×1×1＝2、(三) は 2×2×2＝8、(四) は 2×2×1＝4 です。しきい値は 5 で、しきい値を超えた場合に保有以外のリスク対応を行います。5 を超えるのは (一) の 8 と (三) の 8 です。(四) の 4 と (二) の 2 は 5 以下なので受容できます。正解はエです。
ほかの選択肢が違う理由
- ア(二) のリスク値は 2×1×1＝2 で、しきい値 5 以下なので対応は要りません。また、リスク値 8 の (三) が抜けています。
- イ(一) と (三) は合っていますが、リスク値 2 の (二) まで入っています。(二) は受容できるリスクです。
- ウ(二) は 2、(四) は 4 で、どちらもしきい値 5 以下です。リスク値 8 の (三) が抜けています。
- オ(一) と (三) は合っていますが、(四) のリスク値は 2×2×1＝4 で、5 を超えていません。
- カ(四) のリスク値は 4 でしきい値以下です。リスク値 8 の (三) が抜けています。
- キ(三) は合っていますが、リスク値 8 の (一) が抜け、リスク値 2 の (二) が入っています。
- ク(三) は合っていますが、リスク値 8 の (一) が抜け、5 以下の (二) と (四) が入っています。
- ケ(二) は 2、(四) は 4 で、どちらもしきい値以下です。対応が要る (一) と (三) がどちらも抜けています。
- コ(三) は合っていますが、リスク値 8 の (一) が抜け、リスク値 4 の (四) が入っています。
仕組み
引っかけは (三) です。会社情報は公開しているので機密性は 0 ですが、重要度は 3 つの評価値の最大値なので、完全性と可用性の 2 が使われて重要度は 2 になります。書き換えられたり見られなくなったりすると困る情報だからです。
「しきい値以下なら受容」「超えたら対応」の境目に注意します。リスク値がちょうど 5 なら受容で、対応が要るのは 6 以上です。
リスク対応の「保有」は、リスクを分かったうえで受け入れることです。保有以外の対応には、低減、回避、移転があります。
