ITパスポート試験 ITパスポート 2018年 (平成30年 春期) 問70: ISMSにおけるリスク分析に関する記述として,適切なものはどれか。

正解

エ. リスクの内容は業界や業種によって異なることから,対象とする組織に適した分析手法を用いる。

正答率 55.1%（1,220人中 672人が正解）

問題の解説

リスク分析は、情報資産ごとに、資産価値、脅威、脆弱性を踏まえてリスクの大きさを見積もる作業である。扱う情報や事業の特性、組織の規模などで想定されるリスクは異なるため、分析手法は対象の組織に合ったものを選ぶ。

選択肢ごとの解説

• アリスク値は、資産価値、脅威、脆弱性が大きいほど大きくなる。脅威と脆弱性が同じなら、資産価値が小さいほどリスク値は小さくなるので、記述が逆である。
• イ規模や重要度に応じて、重要なリスクを優先して詳細に分析するのが一般的であり、全てを詳細に分析しなければならないわけではない。
• ウ情報資産には、電子データだけでなく紙の書類などの媒体も含まれるので、紙媒体のデータも分析の対象である。
• エ正しい。リスクの内容は業界や業種で異なるので、対象とする組織の事情に合った分析手法を選んで用いる。