情報資産管理とリスクアセスメント・リスク対応
この単元には 33問あります。うち 5問は科目B（長文事例）で、この単元の科目Bだけ解くこともできます。くり返し出ているものから並べています。
情報資産を洗い出し、リスクを見積もって対応を決めるまで
情報セキュリティの対策は、守るものを決めるところから始まります。組織の情報を情報資産として台帳にまとめ、重要度を見積もり、起こりうることを整理して対応を決める。この単元はその流れを扱います。
情報資産の重要度は、機密性・完全性・可用性の三つの面から評価します。IPAの中小企業の情報セキュリティ対策ガイドラインでは、三つにそれぞれ評価値を付け、最も高い値をその資産の重要度とする考え方が示されています。
リスクアセスメントは、リスク特定・リスク分析・リスク評価という三つの段階からなります。リスク特定は、リスク源や起こりうる事象、その原因と結果を見つけて一覧にする段階。リスク分析は、起こりやすさと影響の大きさからリスクレベルを求める段階。リスク評価は、あらかじめ決めたリスク基準と照らして、手を打つ必要があるか、どれを先にするかを決める段階です。名前が似ているので、どの段階が何を答えるのかを分けて捉えると混同しにくくなります。
リスク対応には四つの方向があります。活動そのものをやめるリスク回避、対策で起こりやすさや影響を小さくするリスク低減、保険や委託で損失を他者と分け合うリスク移転（リスク共有）、そのまま抱えるリスク保有です。保険への加入のように資金の手当てで備えるものをリスクファイナンシング、対策そのもので小さくするものをリスクコントロールと呼び分けます。
対応をしてもリスクはゼロになりません。残ったぶんを残留リスクといい、これを受け入れてよいと判断することをリスク受容といいます。受容は現場の判断だけで済ませるものではなく、そのリスクを運用管理する責任と権限をもつリスク所有者の承認が要ります。
拠りどころは規格にあります。JIS Q 31000 はリスクマネジメント全般の原則と指針を、JIS Q 27000 は用語の定義を、JIS Q 27001 は要求事項を示します。分析の深さにも幅があり、定めた基準に一律に合わせるベースラインアプローチ、資産ごとに詳しく見る詳細リスク分析、両者の組合せがあります。
この単元で出た問題
- JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。3回出題
- JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体を何と呼んでいるか。2回出題
- JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，リスクを受容するプロセスに求められるものはどれか。2回出題
- 情報の取扱基準の中で，社外秘情報の持出しを禁じ，周知した上で，従業員に情報を不正に持ち出された場合に，“社外秘情報とは知らなかった”という言い訳をさせないことが目的の一つになっている対策はどれか。2回出題
- A社は従業員300名のITサービス企業であり，ヘルプデスク業務のアウトソーシングサービスを提供している。A社はオンプレミスのシステムを所有しておらず，顧客向けサービスのほか，社内業務でもクラウドサービスを利用している。A社では，各従業員にPC及びスマートフォンを貸与している。スマートフォンは勤怠管理などの社内業務だけに利用している。A社では，クラウドサービスについての可用性に関する重要度の評価（以下，可用性に関する重要度の評価を可用性評価という）を本来実施すべきであったが，実施できていなかった。そこで，A社の情報セキュリティリーダーであるB主任が，表1のとおり，A社がリスク評価で用いる可用性評価の基準を用いて可用性評価を実施することになった。科目B
- A社は従業員300名の商社である。総務部が定めたA社の文書管理ルールを図1に示す。科目B
- A社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では，図1の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントの結果をまとめている。科目B
- A社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では，図1の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントを行っている。科目B
- A社は，放送会社や運輸会社向けに広告制作ビジネスを展開している。A社は，人事業務の効率化を図るべく，人事業務の委託を検討することにした。A社が委託する業務（以下，B業務という）を図1に示す。科目B
- IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”を参考に，次の表に基づいて，情報資産の機密性を評価した。機密性が評価値2とされた情報資産とその判断理由として，最も適切な組みはどれか。
- JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）におけるリスク分析の定義はどれか。
- JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として，適切なものはどれか。
- JIS Q 27000におけるリスク評価はどれか。
- JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に従ったリスク評価において，情報セキュリティリスクが受容可能か否かの意思決定を行う際に，リスク分析結果と比較するものはどれか。
- JIS Q 27001において，リスクを受容するプロセスに求められるものはどれか。
- JIS Q 31000:2010における残留リスクの定義はどれか。
- JIS Q 31000:2010（リスクマネジメント－原則及び指針）において，リスクマネジメントは，“リスクについて組織を指揮統制するための調整された活動”と定義されている。そのプロセスを構成する活動の実行順序として，適切なものはどれか。
- JIS Q 31000:2010（リスクマネジメント－原則及び指針）において，リスクマネジメントを効果的なものにするために，組織が順守することが望ましいこととして挙げられている原則はどれか。
- JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。
- JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクマネジメントプロセスに関する記述のうち，適切なものはどれか。
- a～dのうち，リスクアセスメントプロセスのリスク特定において特定する対象だけを全て挙げたものはどれか。
- リスクの顕在化に備えて地震保険に加入するという対応は，JIS Q 31000:2010に示されているリスク対応のうち，どれに分類されるか。
- リスク対応のうち，リスクの回避に該当するものはどれか。
- リスク対応のうち，リスクファイナンシングに該当するものはどれか。
- リスク対応のうち，リスクファイナンシングに該当するものはどれか。
- 情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち，適切なものはどれか。
- 情報セキュリティマネジメントにおける，脅威と脆弱性に関する記述のうち，最も適切なものはどれか。
- 情報セキュリティ対策を検討する際の手法の一つであるベースラインアプローチの特徴はどれか。
- 組織での情報資産管理台帳の記入方法のうち，IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”に照らして，適切なものはどれか。
正解と解説は演習画面で、解答したあとに表示されます。
年度から解く
この単元の問題は 13年度ぶんの試験から出ています。いちばん新しいのは令和8年度です。年度から選ぶと、回ごとにまとめて解けます。