セキュリティ｜平成31年度 春期 ITパスポート試験（特別措置試験） 問68
資産A〜Dの資産価値，脅威及び脆弱性の評価値が表のとおりであるとき，最優先でリスク対応するべきと評価される資産はどれか。ここで，リスク値は，表の各項目を重み付けせずに掛け合わせることによって算出した値とする。
| 資産名 | 資産価値 | 脅威 | 脆弱性 |
|---|---|---|---|
| 資産A | 5 | 2 | 3 |
| 資産B | 6 | 1 | 2 |
| 資産C | 2 | 2 | 5 |
| 資産D | 1 | 5 | 3 |
- ✓ これが正解資産A
- 資産B
- 資産C
- 資産D
解説
三つの評価値を掛けると、資産Aが30で最も大きくなります。
リスクアセスメントでは、守るものの値打ちと、それを脅かすものの強さと、守りの弱さを合わせて重さを出します。設問は、三つの評価値を重み付けせずに掛け合わせると定めています。規則が与えられているので、順に計算するだけです。資産Aは5と2と3を掛けて30になります。資産Bは6と1と2を掛けて12、資産Cは2と2と5を掛けて20、資産Dは1と5と3を掛けて15です。最も大きいのは資産Aなので、ここから先に手を打ちます。気をつけたいのは、資産Aがどの列でも一位ではない点です。一つの列だけを見て決めると、必ず別の資産を選んでしまいます。値打ちの高い資産Bも、狙われやすい資産Dも、他の二つが低いので順位は下がります。逆に資産Aは、どの列も一位でないのに掛けると首位です。三つを掛け合わせて初めて順位が決まります。
ほかの選択肢はなぜ違うのか
- 資産Bは資産価値が6で、四つの中で最も高く評価されています。守るものとして大事だという点は確かです。しかし脅威が1、脆弱性が2と低いので、掛け合わせたリスク値は12にとどまります。値打ちだけを見ると外します。
- 資産Cは脆弱性が5で、四つの中で最も守りが弱い相手です。弱いところから狙われるのは確かです。けれども資産価値が2と低いため、掛け合わせると20になります。守りを固めれば下がります。弱さだけを見ても順位は決まりません。
- 資産Dは脅威が5で、四つの中で最も狙われやすい相手です。それでも資産価値が1と低く、掛け合わせたリスク値は15にしかなりません。脅威も列の一つです。三つの列の最大が別々の資産に散らしてあるので、どの列を見ても答えには届きません。
この問題に関係する言葉
- リスクアセスメントリスクを洗い出し（特定）、大きさを見積もり（分析）、対応の優先順位を決める（評価）までの一連の作業を指します。
- リスク対応リスクを避ける・減らす・移す・受け入れるといった手立ての中から選んで実行すること。どれを選ぶかは、見積もった大きさと費用を見て決めます。
- 資産価値
- 脅威情報資産に害を及ぼしうる出来事や行為のもと。弱点である脆弱性と結び付いたときに、実際の被害につながります。
- 脆弱性OSやソフトに残っている、攻撃の足掛かりになりうる弱点のこと。開発元が配る修正パッチを当ててふさぎます。
- リスク値
出典：平成31年度 春期 ITパスポート試験（特別措置試験） 問68（改変：原典の図表をテキストに書き起こした）
同じ単元をまとめて解くならセキュリティへ。
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）