情報セキュリティマネジメント試験 令和5年度 公開問題 問13

【正解】エ

情報資産の重要度は、機密性、完全性、可用性の最大値です。表では全ての資産の最大値が2なので、重要度はいずれも2です。リスク値を計算すると、（一）は2×2×2＝8、（二）は2×1×1＝2、（三）は2×2×2＝8、（四）は2×2×1＝4です。しきい値5以下は保有でき、5を超える場合は保有以外の対応が必要です。該当するのは（一）と（三）なので、エが正解です。

アは（三）がなく、不要な（二）を含むので誤りです。イは（二）まで含むので誤りです。ウは（三）がなく、（二）と（四）を含むので誤りです。オは不要な（四）を含むので誤りです。カは（三）がなく、（四）を含むので誤りです。キは（一）がなく、（二）を含むので誤りです。クは（一）がなく、（二）と（四）を含むので誤りです。ケは必要な（一）と（三）がなく、（二）と（四）を挙げているので誤りです。コは（一）がなく、（四）を含むので誤りです。

【ポイント】 ・重要度は三つの評価値の平均ではなく、最大値を採用します。 ・しきい値と同じ5は受容可能であり、保有以外の対応が必要なのは5を超えた場合です。 ・リスク対応には、低減、回避、移転、保有があります。