A社は、分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では、図1の“情報セキュリティリスクアセスメント手順”に従い、年一度、情報セキュリティリスクアセスメントの結果をまとめている。図1 情報セキュリティリスクアセスメント手順：情報資産の機密性、完全性、可用性の評価値は、それぞれ0〜2の3段階とし、表1のとおりとする。情報資産の機密性、完全性、可用性の評価値の最大値を、その情報資産の重要度とする。脅威及び脆弱性の評価値は、それぞれ0〜2の3段階とする。情報資産ごとに、様々な脅威に対するリスク値を算出し、その最大値を当該情報資産のリスク値として情報資産管理台帳に記載する。ここで、情報資産の脅威ごとのリスク値は、次の式によって算出する。リスク値＝情報資産の重要度×脅威の評価値×脆弱性の評価値。情報資産のリスク値のしきい値を5とする。情報資産ごとのリスク値がしきい値以下であれば受容可能なリスクとする。情報資産ごとのリスク値がしきい値を超えた場合は、保有以外のリスク対応を行うことを基本とする。A社は、自社のWebサイトをインターネット上に公開している。A社のWebサイトは、自社が取り扱う分析機器の情報を画像付きで一覧表示する機能を有しており、主にA社で販売する分析機器に関する機能の説明や操作マニュアルを掲載している。A社で分析機器を購入した顧客は、A社のWebサイトからマニュアルをダウンロードして利用することが多い。A社のWebサイトは、製品を販売する機能を有していない。A社は、年次の情報セキュリティリスクアセスメントの結果を、表2にまとめた。表2の“自社Webサイトにあるコンテンツ”（説明：分析機器の情報）の行では、機密性の評価値a1、完全性の評価値a2、可用性の評価値2、情報資産の重要度a3、脅威の評価値2、脆弱性の評価値2、リスク値a4となっている。設問：表2中のa1〜a4に入れる数値の適切な組合せを、aに関する解答群から選べ。

重要度は機密性・完全性・可用性の評価値の最大値

頻出情報セキュリティマネジメント試験／2022年度 公開問題 科目A・B 問50／情報セキュリティマネジメント / リスクマネジメント

表1 情報資産の機密性、完全性、可用性の評価基準（抜粋） 機密性：評価値2＝法律で安全管理措置が義務付けられている（例：健康診断の結果、給与所得の源泉徴収票）／取引先から守秘義務の対象として指定されている（例：取引先から秘密と指定されて受領した資料）／自社の営業秘密であり漏えいすると自社に深刻な影響がある（例：自社の独自技術、取引先リスト）。評価値1＝関係者外秘情報又は社外秘情報である（例：見積書、社内規程）。評価値0＝公開情報である（例：自社製品カタログ、自社Webサイト掲載情報）。 完全性：評価値2＝法律で安全管理措置が義務付けられている、又は改ざんされると自社に深刻な影響、若しくは取引先や顧客に大きな影響がある（例：社内規程、自社の独自技術、設計データ（原本））。評価値1＝改ざんされると事業に影響がある（例：受発注情報、設計データ（印刷物））。評価値0＝改ざんされても事業に影響はない（例：廃版製品カタログデータ）。 可用性：（省略） 表2 A社の情報セキュリティリスクアセスメント結果（抜粋）
情報資産名称説明機密性完全性可用性重要度脅威脆弱性リスク値
社内規程行動規範や判断基準を含めた社内ルール1212112
設計データ（印刷物）A社における主力製品の設計図（省略）
自社Webサイトにあるコンテンツ分析機器の情報a1a22a322a4
aに関する解答群
a1a2a3a4
ア0028
イ0128
ウ0214
エ0228
オ1024
カ1128
キ1214
ク1228

選択肢

正解と解説

正解：エ a1=0, a2=2, a3=2, a4=8

自社Webサイトの掲載情報は公開情報なので機密性は0である。一方、掲載しているのは製品の機能説明や操作マニュアルであり、改ざんされれば顧客の利用に大きな影響が及ぶため完全性は2となる。重要度は機密性0・完全性2・可用性2の最大値で2、リスク値は重要度2×脅威2×脆弱性2=8である。

選択肢ごとの解説

出典：令和4年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問50（IPA）

同じ分野の他の問題

最終更新：2026-08-25／解説・選択肢ごとの解説は資格暗記が独自に作成しています。問題文と選択肢の出典は上記のとおりです。