問4 リスクアセスメント

情報資産を保護するためには，リスクを洗い出すことが出発点となる。リスクを洗い出した後，そのリスクによる情報資産への影響を分析した上で，対策の必要性を評価し，具体的な対策の内容を検討することが重要である。これらのリスクアセスメントからリスク対応までのプロセスを適切に行えることが，情報処理安全確保支援士（登録セキスぺ）には要求される。 本問では，業務委託関係にある百貨店と運送会社を題材に，リスクアセスメントを実施する能力，及び個々のリスクを低減するための対策を立案する能力を問う。

問4では，業務委託関係にある百貨店と運送会社を題材に，個人情報に関するリスクアセスメントについて出題した。全体として正答率は平均的であった。 リスクアセスメントの中でも，リスク特定は担当者の知見が重要なプロセスである。本文内の状況説明と受験者自らの知見とを組み合わせてリスクを洗い出す能力を，設問2では問うた。多くの受験者が適切な解答を記述していたが，特定したリスクが具体性に欠けており，リスク分析の段階で被害の大きさや発生頻度の評価ができていない解答が散見された。また，“W社外の第三者”や“W社へのサイバー攻撃”といったリスクの前提に合っていない解答も一部に見られた。 リスクアセスメントは，組織の秘密情報を保護するための基本的なプロセスであり，このプロセスで大きなリスクの見落としがあると，重大なインシデントの発生につながってしまうおそれがある。情報処理安全確保支援士（登録セキスぺ）の専門性が発揮されるべき重要なプロセスであるので，リスクアセスメントの流れについて理解するとともに，その流れの中で，脅威を想定して攻撃シナリオを作成する方法及び攻撃シナリオを分析する方法について理解を深めるよう，学習を進めてほしい。