リスクアセスメントとリスク対応の一問一答

JIS Q 27000におけるリスクアセスメントを構成する活動として、最も適切な組み合わせはどれか。

• ①リスク対応、リスク受容、リスク移転
• ②リスク特定、リスク分析、リスク評価
• ③リスク低減、リスク回避、リスク保有
• ④リスク監視、リスク報告、リスクレビュー

定性的リスク分析における一般的なリスク値の算出方法として、最も適切なものはどれか。

• ①情報資産の取得価格から、減価償却費を差し引いて算出する。
• ②対策に要した費用の総額を、そのままリスク値として扱う。
• ③被害を受けた他社事例の件数だけを、単純に合計して算出する。
• ④脅威の発生可能性と、発生時の影響度を掛け合わせて算出する。

リスク対応の分類のうち「リスク移転(共有)」に該当する対応として、最も適切なものはどれか。

• ①情報漏えいに備えサイバー保険に加入し、金銭的負担を保険会社と分担する。
• ②リスクの影響が小さいと判断し、特段の対策を取らずにそのまま受け入れる。
• ③リスクの原因となる業務そのものを廃止し、その業務を行わないようにする。
• ④アクセス制御や暗号化などの対策を追加し、発生可能性や影響度を小さくする。

リスク対応のうち「リスク回避」に該当する対応として、最も適切なものはどれか。

• ①リスクを認識した上で、対策を講じずにそのまま受け入れる。
• ②業務の一部を外部の専門業者に委託し、責任の一部を移す。
• ③情報漏えいのリスクが高い機能そのものの提供を取りやめる。
• ④ウイルス対策ソフトを導入し、マルウェア感染の可能性を下げる。

「残留リスク」の説明として、最も適切なものはどれか。

• ①リスク対応を行う前の、当初評価された時点でのリスクそのもの。
• ②リスク対応を実施した後もなお残る、低減しきれなかったリスク。
• ③リスクアセスメントの対象から意図的に除外されたリスク。
• ④既に現実の損害として発生してしまった、過去のインシデントのこと。

「リスク受容基準」に関する記述として、最も適切なものはどれか。

• ①全ての組織で同一の数値が法令によって一律に定められている基準である。
• ②リスクアセスメントの結果を待たず、対策実施後に事後的にのみ定める基準である。
• ③リスクの発生可能性のみに着目し、影響度を考慮せずに定める基準である。
• ④どの程度のリスクまで受け入れられるかを、経営層が事前に定めておく基準である。

リスク分析の手法に関する記述のうち、最も適切なものはどれか。

• ①定量的リスク分析は、被害額を金額や具体的な数値で表現して分析する手法である。
• ②定性的リスク分析は、必ず金銭的な被害額を算出しなければ成立しない手法である。
• ③定量的リスク分析は、担当者の主観的な印象のみに基づいて評価する手法である。
• ④定性的リスク分析と定量的リスク分析は、法令上どちらか一方のみしか採用できない。

ISMSにおける「リスクオーナー」の役割として、最も適切なものはどれか。

• ①リスクアセスメントの結果を、集計するだけの事務作業を担当する。
• ②情報システムの開発・保守だけを専門に担当する技術者を指す。
• ③特定のリスクについて管理の責任と権限を持ち、対応方針を決定する。
• ④外部監査人として、ISMSの運用状況を第三者の立場から評価する。

リスクアセスメントを再実施すべき状況として、最も適切なものはどれか。

• ①前回の実施から、ちょうど1週間が経過したときに再実施する。
• ②情報セキュリティの事故が一度も発生していないときに実施する。
• ③既存のリスク対応策が、想定どおりに機能していると確認できたとき。
• ④新しい情報システムの導入や組織変更など、状況の変化があったとき。

「適用宣言書(Statement of Applicability, SoA)」に関する記述として、最も適切なものはどれか。

• ①リスクアセスメントで特定した個々のリスクを記録した台帳のことをいう文書である。
• ②附属書Aの管理策について、適用要否・理由・実施状況をまとめた文書である。
• ③従業員が入社時に提出する、秘密保持に関する誓約書のことをいう文書である。
• ④情報セキュリティ事故の発生時に、監督官庁へ提出する報告書のことである。