問題
一般財団法人日本情報経済社会推進協会のISMSユーザーズガイド（リスクマネジメント編）などが、情報セキュリティリスクアセスメントを実施するためのアプローチとして、ベースラインアプローチ、非形式的アプローチ、詳細リスク分析、組み合わせアプローチの4つを紹介している。これらのアプローチに関する記述として最も適切なものはどれか。
選択肢
- 1ベースラインアプローチとは、システムの最も基本的な部分を選び、これに確保すべき一定のセキュリティレベルを設定して、現状とのギャップをリスクとして評価することを指す。
- 2非形式的アプローチとは、組織や担当者の経験や判断によってリスクを評価することを指す。
- 3詳細リスク分析とは、システムをサブシステムに分解し、そのシステムごとにリスク評価を行うことを指す。
- 4組み合わせアプローチとは、システムをサブシステムに分解し、その組み合わせすべてについてリスク評価を行うことを指す。
正解
2. 非形式的アプローチとは、組織や担当者の経験や判断によってリスクを評価することを指す。
詳しい解説を見る解説を閉じる
解説
非形式的アプローチは、組織や担当者の経験・知識・判断に基づいて主観的にリスクを評価する簡便な手法であり、イが正しい。アのベースラインアプローチは、業界標準や政府ガイドライン等で示された一定の基準（ベースライン）と自組織の現状を比較しギャップをリスクとして評価する手法で、「システムの最も基本的な部分を選ぶ」という記述は不適切。ウの詳細リスク分析は資産・脅威・脆弱性を詳細に洗い出し定量・定性評価する手法で、サブシステム分解を本質とするものではない。エの組み合わせアプローチは「ベースライン＋詳細リスク分析」を重要度に応じて組み合わせる手法で、「すべてについてリスク評価」ではない。（出典: 一般社団法人 中小企業診断協会 平成27年度 中小企業診断士1次試験 経営情報システム 第22問）
中小企業診断士トップ
一問一答・予想問題・まとめノート