リスク値を計算して対応の優先順位を決めるには
ITパスポート試験 平成31年度春期 問68 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
資産A～Dの資産価値，脅威及び脆弱性の評価値が表のとおりであるとき，最優先でリスク対応するべきと評価される資産はどれか。ここで，リスク値は，表の各項目を重み付けせずに掛け合わせることによって算出した値とする。
- ア
資産A
- イ
資産B
- ウ
資産C
- エ
資産D
会話形式の解説
講師注目するのは、三つの評価値を掛け合わせたリスク値です。各資産で計算し、最も大きいものを探します。
受験者資産価値が最も大きい資産Bを選びそうになりました。ほかの値も含めて考えるのですね。
講師はい。資産Bは6×1×2で、リスク値は12です。資産価値だけでは優先順位を決められません。
受験者では、資産Aは5×2×3で30ですね。資産Bより大きいです。
講師そのとおりです。残る二つも計算して比べましょう。
受験者資産Cは脆弱性の評価値が5なので、30を超えるかもしれません。
講師資産Cは2×2×5で20です。脆弱性の値は大きくても、積は資産Aを下回ります。
受験者資産Dは脅威の評価値が5です。こちらはどうですか。
講師資産Dは1×5×3で15です。脅威の値だけを見ると大きいですが、積で比べる必要があります。
受験者Aが30、Bが12、Cが20、Dが15なので、最優先で対応するのは資産Aですね。
講師はい。各項目に重みを付けず、表の値をそのまま掛けてから比較するのがポイントです。
まとめ
リスク値は、資産価値×脅威×脆弱性で求めます。各資産のリスク値はAが30、Bが12、Cが20、Dが15です。最大の資産Aを最優先で対応します。一つの評価値だけで判断せず、三つの値の積を比較します。
解答・解説
正解はアです
この問題のテーマ
資産価値・脅威・脆弱性からリスク値を計算し、対応の優先順位を判断する問題です。
解き方の考え方
各資産について、表の三つの評価値をそのまま掛け合わせます。求めたリスク値を比較し、最も大きい資産を選びます。
選択肢ごとの解説
- ○ア 資産A資産Aのリスク値は5×2×3＝30です。4資産の中で最大なので、最優先で対応します。
- ×イ 資産B資産Bのリスク値は6×1×2＝12です。資産価値は大きくても、三つの値の積は資産Aより小さくなります。
- ×ウ 資産C資産Cのリスク値は2×2×5＝20です。脆弱性の評価値だけで判断せず、積の30となる資産Aを優先します。
- ×エ 資産D資産Dのリスク値は1×5×3＝15です。脅威の評価値は大きいものの、積は資産Aを下回ります。
補足
一つの評価値だけを見ると、資産価値が最大のBや脅威が最大のDを選びたくなるかもしれません。三つの値を掛けてから比べることが大切です。
POINT
- この問題のリスク値は、資産価値×脅威×脆弱性で求めます。
- 各項目に重みを付けず、表の値をそのまま掛けます。
- 最優先で対応するのは、リスク値が最大の資産です。
- 検算すると、A＝30、B＝12、C＝20、D＝15なので、正解はアです。