ISMSにおけるリスク分析に関する記述として，適切なものはどれか。
- ア異なる情報資産について，脅威と脆弱性のレベルが同じであれば，その資産価値が小さいほどリスク値は大きくなる。
- イシステムの規模や重要度にかかわらず，全てのリスクを詳細に分析しなければならない。
- ウ電子データは分析の対象とするが，紙媒体のデータは対象としない。
- エリスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。
正解と解説を見る
正解
エ リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。
正解は「リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる」（選択肢3）。ISMSにおけるリスク分析は、組織の業種・業態・保有する情報資産の性質によってリスクの内容や重要度が異なるため、画一的な手法ではなく対象組織の実情に適した分析手法を選択して実施する必要がある。「資産価値が小さいほどリスク値が大きくなる」という記述は誤りで、一般にリスク値は資産価値・脅威・脆弱性の大きさに比例して大きくなる。また、規模やコストに応じて詳細分析の要否を判断するのが実務上適切であり、全リスクを一律に詳細分析するものではなく、電子データだけでなく紙媒体を含むあらゆる情報資産が分析対象となる。