科目B対策の長文演習問題⑥ | ぞうログ - 情報セキュリティマネジメント試験

リスクアセスメントでは、洗い出したリスクを発生可能性と影響度で評価し、対応の優先順位と方針を決める。分野08「リスクマネジメント」で扱った4つの対応方針を思い出しながら、表の内容を読み解いてほしい。

大問：N社におけるリスクアセスメントの実施

N社は、健康食品の通信販売を行う従業員60名の企業である。今年度から情報セキュリティ委員会を設置し、初めて全社的なリスクアセスメントを実施した。

N社は、発生可能性と影響度をそれぞれ3段階で評価し、両者を掛け合わせた値をリスク値とした。リスク値が6以上のものを「優先的に対応すべきリスク」と位置付けている。

表1 リスクアセスメントの結果
項番	リスクの内容	発生可能性	影響度	リスク値
1	顧客情報を保存したサーバーへの不正アクセスによる情報漏えい	2	3	6
2	従業員の誤送信による顧客情報の漏えい	3	2	6
3	大規模な自然災害による本社の長期停止	1	3	3
4	社内報の記載誤りによる軽微な訂正対応	2	1	2

表2 リスクごとの対応方針
項番	決定した対応
1	多要素認証の導入とアクセスログの監視を行い、発生可能性を下げる。
2	宛先の二重確認と送信前の一時保留機能を導入し、あわせて従業員教育を実施する。
3	自社での全面的な対策は費用面で困難なため、損害保険に加入して金銭的な負担に備える。
4	影響が軽微であり許容できる範囲であるため、特段の対策は講じない。

委員会は、これらの対応を年度計画に反映し、次年度に改めてリスクアセスメントを実施して見直すこととした。

表2の各対応が、リスク低減・回避・移転・保有のどれにあたるかを判別できるようにしておくこと。リスク値が同じでも、発生可能性が高いのか影響度が大きいのかによって、取るべき対策は変わる点にも注目したい。

以下の理解度チェックでは、上記の大問を踏まえて、優先度の判断、リスク対応の分類、継続的な見直しの必要性という3つの観点から設問を用意した。文中の事実関係に立ち返りながら、それぞれ最も適切な選択肢を選んでほしい。