情報セキュリティマネジメント 平成28年度 秋期 午前 問6

✓ これが正解ア 基準とする望ましい対策と組織の現状における対策とのギャップを分析する。

解説

望ましい基準と現状を比べて足りない分を埋める進め方です。

ベースラインアプローチは、まず基礎として満たしておきたい対策の水準をあらかじめ決めておき、それと組織の今の姿を突き合わせて、足りていないところを洗い出す進め方です。基準となる望ましい対策と、現状の対策との差を見るところに特徴があります。情報資産を一つずつ調べ上げなくてよいので手間が軽く、検討する人による差も出にくい代わりに、組織ごとの事情に細かく合わせるのは苦手です。リスク分析の進め方はほかにもいくつかあり、どこを起点にするかで性格が変わります。

決めておいた基準を起点にするのがこの方法だ、と押さえておくとほかと混ざりません。

ほかの選択肢の解説

• イ 現場担当者の経験や考え方によって検討結果が左右されやすい。：検討した人の経験や物の見方に結果が引きずられやすい、という性格を述べたものです。よりどころを持たずに担当者の判断で進めるやり方に当てはまる話で、決めた水準と照らす方法の性格とは逆です。
• ウ 情報資産ごとにリスクを分析する。：情報資産を一つずつ取り上げて、それぞれについてリスクを丁寧に見ていくやり方の性格です。個別に掘り下げる進め方であり、あらかじめ決めておいた水準と現状を比べるという起点とは異なります。
• エ 複数のアプローチを併用して分析作業の効率化や分析精度の向上を図る。：いくつかのやり方を組み合わせ、作業の手間を減らしながら精度も上げようとする性格を述べたものです。組み合わせて使うという話であり、単独の方法である基準との比較そのものを言い表してはいません。