【過去問解説】平成30年度 ITパスポート試験（IP） 春期分 問70

出典：平成30年度 ITパスポート試験（IP）春期分問70

難易度設定

予備知識を表示する
ピヨ意訳を表示する
ピヨピヨ解説を表示する

予備知識

用語	意味
ISMS	どこかの誰かが決めた「情報の安全を守るために、こんな取り組みをしよう！」な内容に付けた名前。情報の安全を守るためにやるあれやこれやの取り組み
リスク	「危険性」のこと。もしくは「不確実性」のこと
リスク分析	見つかったリスクに対する「このリスクは、どんなやつかな～？」とかを調べる作業
情報資産	価値がある情報（と、その情報の入れ物）
脅威	ヤバいことの原因になりそうなやつ
脆弱性	放っておくとヤバいところ。セキュリティ上の欠陥
電子データ	コンピュータで扱える形になっているデータ

問題

問題文
ISMSにおけるリスク分析に関する記述として，適切なものはどれか。
ピヨ意訳：リスク分析に関する説明だよ。正しいのは、どれ？

解答選択肢
ア	異なる情報資産について，脅威と脆弱性のレベルが同じであれば，その資産価値が小さいほどリスク値は大きくなる。
ア	ピヨ意訳：ヤバさが同じなら、ショボいものほど、リスクは大きいと判断されるよ
イ	システムの規模や重要度にかかわらず，全てのリスクを詳細に分析しなければならない。
イ	ピヨ意訳：規模とか重要度は気にしないで、すべてのリスクを詳しく分析する必要があるよ
ウ	電子データは分析の対象とするが，紙媒体のデータは対象としない。
ウ	ピヨ意訳：電子データは分析対象だけど、紙媒体のデータは分析対象外だよ
エ	リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。
エ	ピヨ意訳：業界や業種によってリスクの内容は変わってくるから、対象に合った分析のやり方を選ぶ必要があるよ

正解

正解
エ	リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。
エ	ピヨ意訳：業界や業種によってリスクの内容は変わってくるから、対象に合った分析のやり方を選ぶ必要があるよ

ピヨピヨ解説

ISMSの中身を知らなくても解けないことはなさそうな問題ですね。
それぞれの選択肢を順番に見ていきましょう。

「ア：異なる情報資産について，脅威と脆弱性のレベルが同じであれば，その資産価値が小さいほどリスク値は大きくなる。」は間違いです。
安い物なら壊れても被害は少ないですが、高価な物だと壊れたときの被害が大きいですよね。
普通に考えて、ヤバさが同じなら資産価値が大きいほどリスク値は大きくなります。

「イ：システムの規模や重要度にかかわらず，全てのリスクを詳細に分析しなければならない。」も間違いです。
リスクのヤバさは一定ではありません。
雨に濡れる可能性と隕石に激突する可能性は同じではありませんよね。
外出するときに雨が降る可能性を考えて傘を持ち歩く人は多いでしょう。
隕石が降る可能性を考えて盾を持ち歩く人は少ないはずです。
実際に起きたらヤバそうなリスクや起きる可能性が高いリスクほど詳細に分析する必要があります。

「ウ：電子データは分析の対象とするが，紙媒体のデータは対象としない。」も間違いです。
紙の資料にだって大事な情報は書いてありますよね。
データで大事なのは中身です。
媒体ではありません。
紙媒体のデータだってリスク分析の対象とするべきでしょう。

「エ：リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。」は、その通りです。
同じ「先生」でも、お医者さんと弁護士さんでは注意すべき点が違ってきますよね。
対象とする組織に適した分析手法を用いる必要があります。

ということで「エ：リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。」が正解です。