解説

解説

解説

解説

1. 誤り。リスクを受容するか否かの判断基準はリスク値5以下であることですが、情報資産の重要度が0ならば、たとえ脅威と脆弱性の評価値がともに最大値(3)であろうとも算出されるリスク値は0のままです。つまり重要度が0の情報資産は、ほぼ無防備の状態でも問題ありません。
2. 正しい。重要度が1、脅威が1の情報資産のリスク値は、たとえ脆弱性の評価値が最大値(3)であったとしても3以下です。したがって必ずリスクを受容できるレベルに留まります。
3. 誤り。表2「脅威及び脆弱性の評価基準」より、一部の管理策だけを実施している状態の脆弱性の評価値は2になるとわかります。重要度が2、脅威が1、脆弱性が2なのでリスク値は、
   
   　2×1×2＝4
   
   このケースにおけるリスク値は4なので、一部の管理策だけを実施している状態でもリスク受容できるレベルに収まっていることがわかります。

解説

1. 正しい。脆弱性を塞ぐための一部の管理策が適用されていない状態に陥りますので、リスク値が上昇する要因になります。
2. 正しい。脆弱性が増すのでリスク値が上昇する要因になります。
3. 正しい。秘密情報が公開情報になると機密性の評価値が下がるので、リスク値が低下する要因になります。
4. 正しい。脅威の評価値が上がるのでリスク値が上昇する要因になります。

解説

技術的対策

暗号化、アクセス制御、認証、二重化、機器の設定などによって情報資産を守る

物理的対策

セキュリティレベルに応じた区画分け、入退室管理、セキュリティワイヤを使用したPCの盗難防止、電波遮蔽シートの設置など、建物、施設、装置などを物体で保護することによって情報資産を守る

人的対策

情報セキュリティに対する責務の明確化、規定類の整備、定期的な教育訓練、職務の分掌など、人に働きかけることによって、人による誤り、盗難、内部不正行為、事件や事故などから情報資産を守る

解説

1. 誤り。CDNは、Webシステムにおけるコンテンツ配信を高速化するために最適化された配信環境のことです。可用性の向上には寄与しますが脆弱性は低減しません。
2. 正しい。IT資産管理ソフトウェアは、管理対象端末のハードウェア／ソフトウェアおよびそのバージョンや仕様状況などの情報を自動で収集することで一元管理するソフトウェアです。在宅勤務者が端末にアプリケーションをインストールする際は申請させ、情報セキュリティ上の問題がないことを確認した上で、使用を認めるようにすることが原則ですが、もし在宅勤務者の独断でソフトウェアがインストールされた場合でも、IT資産管理ソフトウェアを使用していれば管理者は不正ソフトウェアの存在に気づけます。
3. 誤り。MACアドレスフィルタリングは、アクセスしてくる端末ごとに固有のMACアドレスでアクセス制御を行う方法です。社内ネットワークへの不正接続対策としては有効ですが、下線②及び下線③については効果はありません。
4. 正しい。フィルタリング等を用いて、在宅勤務者が危険なサイトにアクセスしないように設定することで不正サイトからの受ける攻撃を防ぐことができます。
5. 誤り。許可されていないソフトウェアのインストールと不正サイトへのアクセスは正当な在宅勤務者が行う行為なので、生体認証では防げません。
6. 誤り。悪用による情報漏えいなどを防止するため、在宅勤務者には特権IDを与えるべきではありません。
7. 誤り。社内ネットワークへの不正接続対策としては有効ですが、下線②及び下線③については効果はありません。
8. 正しい。ソフトウェアをインストールする際、多くの場合には管理者権限が必要です。標準IDにしてしまえば、在宅勤務者はプログラムをインストールしたりアンインストールしにくくなります。
9. 誤り。リバースプロキシは、インターネット側から内部ネットワークを守るために設置されます。社内ネットワークへの不正接続対策としては有効ですが、下線②及び下線③については効果はありません。

解説

1. 正しい。紛失・盗難が起こっても第三者による情報へアクセスを禁止できるので、情報漏えい対策に有効です。
2. 誤り。技術的対策に分類されますが、ウイルス対策ソフトを導入していても、紛失・盗難した際の情報消失・漏えいは防げません。
3. 誤り。利用規定の整備は、在宅勤務者自身による内部不正や、外部持出し時のリスクを低下させるのに有効ですが、技術的対策ではなく人的セキュリティ対策です。
4. 誤り。誓約書の提出は、セキュリティ意識を向上させ内部不正を予防するに有効ですが、技術的対策ではなく人的セキュリティ対策です。
5. 正しい。情報が消失したとしてもバックアップから回復できるので、情報消失対策に有効です。

解説

リスク回避

脅威発生の要因を停止あるいは全く別の方法に変更することにより、リスクが発生する可能性を取り去ること

リスク移転（リスク共有）

損害保険をかけるなど、リスクが顕在化したときの損害の一部を他者に移転することで、リスクを他社などを共有すること

リスク低減

脆弱性に対して情報セキュリティ対策を講じることにより、脅威発生の可能性を下げること

リスク受容（リスク保有）

そのリスクのもつ影響力が小さいため、特にリスクを低減するためのセキュリティ対策を行わず、許容範囲内として受容すること

解説

1. 正しい。複数人で評価を行うことで結果が平均化されます。
2. 誤り。評価のばらつき軽減には寄与しません。
3. 誤り。評価者によっては算出されたリスク値が適切でない可能性があるため不適切です。
4. 誤り。評価のばらつき軽減には寄与しません。
5. 正しい。評価者の知識・技術が向上すれば評価のばらつきは軽減されます。
6. 正しい。リスク基準を標準化すれば、評価者ごとの能力にかかわらず同じ結果になるので効果的です。