情報セキュリティマネジメント 令和5年度 科目B 問13

✓ これが正解エ (一)，(三)

解説

重要度は3つの評価値の最大値です。機密性0でも重要度は下がりません。

この設問は、事例文のどこを読むかがそのまま答えになります。見るべきなのは、図1に並んだ計算の決まりと、表1の各行にある3つの評価値です。図1には、機密性・完全性・可用性の評価値の最大値をその情報資産の重要度とすること、リスク値は重要度と脅威の評価値と脆弱性の評価値を掛けたものであること、しきい値は5で、これを超えたときだけ保有以外のリスク対応を行うことが書かれています。表1の重要度とリスク値の欄は埋まっていませんが、図1の決まりがあれば自分で求められます。

そこで判定の軸は一本に決まります。その行の3つの評価値のうち最も大きいものを重要度とし、それに脅威と脆弱性を掛けた積が5を超えるかどうか。超えれば保有以外のリスク対応が必要になり、超えなければ受容できるリスクとして扱います。

つまずきやすいのは重要度の取り方です。最大値をとる決まりなので、3つのうち1つでも2があれば重要度は2になります。公開している情報だから重くないだろう、という感覚で機密性の評価値だけを見ると、完全性や可用性が2の行を取りこぼします。逆に、重要度が2でも脅威か脆弱性のどちらかが1なら積は4以下にとどまり、しきい値を超えません。高い値がそろっているかどうかが分かれ目になります。

表1の行ごとに、最大値をとる、掛ける、5と比べる。この3手を順に踏めば、どの行が該当するかは迷わず決まります。

ほかの選択肢の解説

• 項番一：3つの評価値がそろって2なので重要度は2です。これに脅威2と脆弱性2を掛けると8になり、しきい値5を超えます。受容できないので、保有以外のリスク対応を行う側に入ります。
• 項番二：最も大きい評価値は完全性の2なので重要度は2ですが、脅威も脆弱性もどちらも1です。積は2にとどまり、しきい値5以下なので受容できるリスクとして扱う行です。
• 項番三：機密性の評価値が0でも、完全性と可用性が2なので重要度は2になります。脅威2と脆弱性2を掛けて8となり、しきい値を超えます。公開情報という語感に引きずられると取りこぼす行です。
• 項番四：機密性と完全性が2なので重要度は2、脅威の評価値も2ですが、脆弱性の評価値が1です。積は4となり、しきい値以下に収まります。3つのうち1つ低い値があると超えない例です。