情報セキュリティマネジメント 科目A・B サンプル問題 科目B 問50

✓ これが正解エ a1=0 ／ a2=2 ／ a3=2 ／ a4=8

解説

機密性と完全性は別々の基準で決めます。公開でも完全性は下がりません。

この設問は、3か所を順に見ると決まります。1か所目は、A社のWebサイトについて述べた段落です。そこに、何を載せているサイトなのか、顧客がそれをどう使っているのか、販売の機能は持たないことが書かれています。2か所目は表1の評価基準で、機密性と完全性それぞれについて、どんな情報がどの評価値になるかが例つきで並んでいます。3か所目は図1で、重要度の求め方とリスク値の式が定めてあります。

軸は、機密性と完全性を別々の基準で決めることです。表1は特性ごとに基準を分けているので、同じ情報資産でも一方が低く、もう一方が高いということが普通に起こります。公開しているのだから全部低い、とまとめてしまうとここで外します。

機密性のほうは、誰に見せてよい情報かで決まります。サイトに載せている時点で誰でも見られるので、表1の機密性の欄で、それに当たる例が挙げられている段を探せば決まります。

完全性のほうは、書き換えられたときに誰がどれだけ困るかで決まります。ここで決め手になるのが、顧客がマニュアルをダウンロードして使っているという記述です。表1の完全性の欄は、影響の及ぶ相手と大きさで段が分かれているので、その記述をどの段に当てるかを見てください。

残りの2つは計算です。重要度は3つの評価値の最大値、リスク値は重要度と脅威と脆弱性の積。表2の同じ行に可用性・脅威・脆弱性の値がそろっているので、そのまま当てはめます。

段落で性格をつかみ、表1で値を決め、図1で計算する。この順に戻れば、4つの空欄は前から順に埋まります。

ほかの選択肢の解説

• 項番a1：サイトに載せている時点で誰でも見られる情報です。表1の機密性の欄で、公開情報として例が挙げられている段に当たります。関係者外秘や社外秘の段に置くと、誰でも見られるという事実と合いません。
• 項番a2：書き換えられたときの影響で決まります。事例文は、顧客がマニュアルをダウンロードして使っていると述べています。誤った内容に差し替えられれば機器を使う顧客に影響が及ぶので、表1の完全性の欄では影響が大きい側の段に当たります。
• 項番a3：図1は、機密性・完全性・可用性の評価値の最大値を重要度とすると定めています。この行は可用性の評価値が2と表2に書かれているので、機密性が低くても重要度はその高いほうの値になります。3つの平均でも合計でもありません。
• 項番a4：図1の式に、重要度と、表2の同じ行にある脅威の評価値と脆弱性の評価値を入れて掛けます。重要度2に脅威2と脆弱性2を掛けた値です。同じ表の社内規程の行が小さい値になるのは、脅威も脆弱性も1だからです。