情報セキュリティマネジメント試験 令和5年度 公開問題 科目A・B 問13

A 社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う 分析機器メーカーである。A 社では，図1 の“情報セキュリティリスクアセスメント 手順”に従い，年一度，情報セキュリティリスクアセスメントを行っている。 ・情報資産の機密性，完全性，可用性の評価値は，それぞれ0〜2 の3 段階とする。 ・情報資産の機密性，完全性，可用性の評価値の最大値を，その情報資産の重要度とする。 ・脅威及び脆 弱性の評価値は，それぞれ0〜2 の3 段階とする。 ・情報資産ごとに，様々な脅威に対するリスク値を算出し，その最大値を当該情報資産のリスク 値として情報資産管理台帳に記載する。ここで，情報資産の脅威ごとのリスク値は，次の式に よって算出する。 リスク値＝情報資産の重要度×脅威の評価値×脆弱性の評価値 ・情報資産のリスク値のしきい値を5 とする。 ・情報資産ごとのリスク値がしきい値以下であれば受容可能なリスクとする。 ・情報資産ごとのリスク値がしきい値を超えた場合は，保有以外のリスク対応を行う A 社の情報セキュリティリーダーであるB さんは，年次の情報セキュリティリスク アセスメントを行い，結果を情報資産管理台帳に表1 のとおり記載した。 (一) 従業員の健康診断の情報 2 2 2 2 2 (二) 行動規範などの社内ルール 1 2 1 1 1 (三) 自社Web サイトに掲載して 省 省 いる会社情報 略 略 (四) 分析結果の精度を向上させ 省 省 るために開発した技術 略 略 設問 表1 中の各情報資産のうち，保有以外のリスク対応を行うべきものはどれか。該 当するものだけを全て挙げた組合せを，解答群の中から選べ。