平成21年度春期 データベーススペシャリスト 午前Ⅱ 問17

判断を支える前提を確かめる

情報システムのリスクについて考えるときは、判断がどのような前提に基づいているかに注目しましょう。書かれている条件と自分で補った想定を区別し、根拠の範囲を意識することが検討の助けになります。

この問題で問われていること

この問題では、判断に使おうとしている前提が、与えられた情報から確かめられるかを意識してみましょう。普段の経験から自然に補ってしまった条件がないかを振り返り、明示された条件との違いを整理してください。

視点

検討の出発点となる前提には、与えられた条件と、考える人が補った想定が混ざることがあります。判断を進める前に、その前提をどこから読み取ったのかを確かめ、情報から確認できる範囲を整理しましょう。

確認ポイント

• 判断の前提にした条件は何か
• その条件の根拠はどこにあるか
• 自分で補った想定が含まれていないか

正解

ウ

解説

正解はウです。リスク分析では、潜在するリスクを識別し、その影響の大きさを測定します。損害予防のための対策費は、損害発生に伴う損失とは区別します。また、金額によるリスク評価では損失の大きさに加えて発生可能性も考慮します。

理由

ウは、損失をもたらすリスクが情報システムのどこに、どのように潜在しているかを識別し、その影響の大きさを測定すると述べています。これはリスク分析の適切な説明です。例えば、機器の故障による業務停止について、故障が業務に及ぼす影響を調べることが該当します。

比較

アは、リスクの分類を述べる前半は適切ですが、情報セキュリティのリスク分析の対象を投機的リスクとする後半が誤りです。対象は損失の可能性を扱う純粋リスクです。イは、発生前に投入する損害予防の対策費を予想損失額に含めている点が誤りです。復旧費や代替手段による業務継続費は損害発生に伴う損失の要素になり得ますが、予防の対策費とは区別します。エは、一回当たりの平均予想損失額だけでリスク評価額を表しており、発生可能性や頻度を考慮していない点が不適切です。

選択肢ア

これは不正解だよ。リスクを投機的リスクと純粋リスクに分ける前半は適切です。投機的リスクには利益を得る可能性もありますが、純粋リスクは損失が生じる可能性を扱います。情報セキュリティのためのリスク分析で対象とするのは純粋リスクなので、後半が誤りです。

選択肢イ

これは不正解だよ。損害予防のために投入されるコストは、リスクが発生する前に被害を防ぐための対策費です。これをリスクの予想損失額に含めている点が誤りです。復旧コストや代替コストは損害発生に伴う損失の要素になり得ますが、予防の対策費とは区別して評価します。

選択肢ウ（正解）

これは正解だよ。リスク分析では、損失につながる脅威や弱点が情報システムのどこにあり、どのような形で被害を生じさせるかを調べます。さらに、被害が発生した場合の影響の大きさを評価します。選択肢は、潜在するリスクの識別と影響の測定というリスク分析の内容を適切に述べています。

選択肢エ

これは不正解だよ。損害が発生した場合の一回当たりの平均予想損失額は、被害の大きさを示す値です。リスクの金額評価では、その損害がどの程度の確率や頻度で発生するかも考慮する必要があります。同じ損失額でも発生しやすさが違えば評価は異なるので、一回当たりの損失額だけで表す記述は不適切です。

学習のポイント

リスクの識別と影響の測定を押さえ、予防の対策費と発生時の損失、損失額と発生可能性を区別して学びましょう。