ネットワークスペシャリスト、技術士として、資格取得を目指す方に有益な情報を発信します。午後問題を通じて、情報セキュリティの知識を体系的に蓄積していきましょう。なった後も能力向上のために学習できるいい機会です。問題文中、設問に該当する部分ですぐに解答を説明しています。ストーリーとして何度も読みこなすと、自然に記憶に定着してくると思います。情報セキュリティにおけるリスクに関する次の記述を読んで、設問1、2に答えよ。E君の所属するF社では、自社の情報セキュリティにおけるリスクを数値化して管理することになり、基準を設定して所有する情報資産のリスク評価を行うことになった。E君はこのうち、サーバX及びサーバYのリスク評価を担当した。ここでは、試行のための仮の基準と値を扱うが、それぞれに”仮”を表す文言は用いない。それぞれについて、情報資産のリスクの値を、次の式で算出する。それぞれから見た情報資産の価値の評価基準と値を、表1〜3のとおりに設定した。〔脅威と脆弱性の判断基準〕F社では、脅威と脆弱性の判断基準と値を、それぞれ表4、5のとおりに設定した。〔サーバX及びサーバY〕サーバXでは、調達先一般情報のデータベースが稼働している。サーバYでは、取引情報のデータベースが稼働している。取引情報とは、調達先コード、購入品コード、単価、購入履歴などである。それぞれから見た価値を評価するために、調達先一般情報と取引情報に関して、社内関連部門から聴取し、その内容を次のようにまとめた。〔社内関連部門からの聴取内容〕(1)調達先一般情報1電話帳や各社のWebページで公開されている情報であるが、取引があることをF社の競合他社に知られたくない調達先もあるので、社外には公開できない。2この情報は、調達先との間で行っているEDI(電子データ交換)では利用していないので、誤りがあっても調達業務に与える影響は小さい。3社員が、電話番号の確認や、挨拶状の宛先ラベルの印字に利用しているが、サーバXが利用できない場合には、代替手段での入手が可能である。(2)取引情報1競合する調達先をはじめ、F社の同業他社に知られてはならない情報である。社内でも、他部門には開示できない情報である。2情報に誤りがあれば、調達や支払などの業務に与える影響は大きい。3営業時間内の調達オンライン入力処理、及び夜間のバッチ処理で利用されており、これらを処理するシステムは、メンテナンス以外では、年間4時間以上停止することは許されない。〔脅威と脆弱性の状況〕E君は、各サーバがさらされている脅威とその脅威に対するF社の脆弱性を調査し、表4及び表5の判断基準に基づいて評価した。そのうちの主なものを、表6に示す。〔受容可能なリスク水準〕F社では、受容可能なリスク水準を、表7のとおりに設定した。情報資産について各リスクの値がこれらの値以下であれば、そのリスクを保有し、そうでなければ、リスク対応を行う。表1〜5の基準、聴取内容及びサーバXとサーバYの状況から、E君は、サーバX及びサーバYに関するリスク評価を行った。F社では、評価に当たって、表1〜3の評価基準では、該当する基準の値のうちで最も小さいものを選ぶことにしている。評価結果の一部を表8に示す。表8のサーバXの完全性の破線で囲まれた部分に関し、F社の受容可能なリスク水準から判断されるリスク対応:ウィルス対策ソフトを導入する。表7「受容可能なリスク水準」で、完全性については「15」以下の値であればリスク保有、そうでなければリスク対応を行うことになります。表8の該当部分では、脅威「ウィルス感染」のみが「15」以上であり、リスク対応を行う必要があります。脆弱性として「ウィルス対策ソフト未導入」が挙がっているため、リスク対応として「ウィルス対策ソフトを導入する」ことにより、リスクを低減します。日)やさしいエンジニアを目指して、ネットワーク・セキュリテイ分野に長年携わってきました。ネットワークスペシャリストなど各種資格を保有しています。役立つ情報をわかりやすく提供できたらと思います。月別アーカイブリンクプライバシーポリシーUdemyスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。