ITパスポート 平成30年度 春期 特別措置試験 問70

✓ これが正解エ リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。

解説

リスク分析の手法は、その組織に合うものを選んで使います。

どこにどんなリスクがあるかは、業界や業種によって違います。扱っている情報資産も、守るべき決まりも、起きたときの影響の出方も同じではありません。だから、ISMS のリスク分析の手法も一つに決め打ちせず、その組織に合うものを選びます。ここで一緒に確かめたい考え方が三つあります。一つ目は、リスク値は、守る情報資産の資産価値が大きいほど大きくなるという向きです。資産価値が小さいほど大きくなるのでは逆になります。二つ目は、すべてを同じ深さで分析する必要はないという点です。重いところは詳細リスク分析、軽いところはベースラインアプローチと使い分けます（組合せアプローチ）。三つ目は、守る対象は電子データに限らないという点です。紙媒体のデータも同じ情報資産として数えます。すべて、必ず、かかわらず、といった言い切りが出てきたら、その一文だけを取り出して確かめる癖をつけると、取りこぼしが減ります。

ほかの選択肢の解説

• ア 異なる情報資産について，脅威と脆弱性のレベルが同じであれば，その資産価値が小さいほどリスク値は大きくなる。：資産価値が小さいほどリスク値が大きくなる、という向きになっています。実際は逆で、資産価値が大きいほどリスク値を大きく見積もります。脅威と脆弱性のレベルが同じなら、資産価値の大小がそのままリスク値の大小になります。向きの反転です。
• イ システムの規模や重要度にかかわらず，全てのリスクを詳細に分析しなければならない。：規模や重要度にかかわらず、全てのリスクを詳細に分析しなければならないとしています。手間が現実的でないうえ、本当に重いところに手をかけられなくなります。重要度に応じて詳細リスク分析とベースラインアプローチを使い分けるのが実際のやり方です。言い切りに注意します。
• ウ 電子データは分析の対象とするが，紙媒体のデータは対象としない。：電子データだけを対象にして、紙媒体のデータを外しています。紙媒体のデータも守るべき情報資産に含まれるので、外す理由がありません。媒体の種類ではなく、そこに載っている内容の値打ちで対象かどうかを決めます。入れ物では分けません。