情報資産とリスクの見分け方
秘密にするだけでは、仕事は守れません。漏れる・書き換わる・使えなくなる、の3つを分けて考えます。
独自の事例練習4問 · 2026年11月6日更新
許可された人だけが情報を見られる
情報が正確で、必要な内容がそろっている
必要なときに情報やシステムを使える
一つの事故で複数の性質が損なわれることもあります。設問が注目する被害を読み分けます。
情報資産はデータだけではない
業務で使う情報、端末、サービスなどを洗い出します。管理者と保存先が分からないと、アクセス権や更新状況も確かめられません。公開済みの商品案内でも、勝手に価格を書き換えられれば困るため、秘密でない情報にも保護の意味があります。
脅威と脆弱性を混ぜない
攻撃や事故などの原因になり得るものが脅威、それに付け込まれる弱点が脆弱性です。台帳を作っただけで対策が完了するわけではありません。業務への影響と起こりやすさを考え、優先順位を決めて対処し、残るリスクも確認します。
4つの場面で確かめる
架空の場面を使った入門問題です。答えを開く前に、判断の理由も考えてみてください。
例題1 公開情報でも守るものがある
公開済みの商品カタログが無断で書き換えられ、違う価格になった。内容の秘密は漏れていない。この変更で主に損なわれたものは？
答え・考え方を確認する
完全性です。
公開されていても、情報の正確さは守る必要があります。「誰でも見られる」という機密性の条件と、「勝手に変更してよい」は別です。
例題2 止まったが、漏れていない
予約サービスが故障し、必要な時刻に予約を受け付けられなかった。調査では情報の流出や改変は確認されていない。主に損なわれたものは？
答え・考え方を確認する
可用性です。
必要なときにサービスを使えないことに注目します。機密性・完全性だけを点検しても、業務を続けられるかは判断できません。
例題3 原因と弱点を分ける
担当者は「フィッシングメール」と「不審なメールを報告する手順が未整備」を同じ欄に書いた。後者は、組織の脅威と脆弱性のどちらに当たる？
答え・考え方を確認する
脆弱性に当たります。
未整備の手順は攻撃への対応を難しくする組織側の弱点です。フィッシングの働き掛けが脅威で、その結果起こり得る情報流出などの影響も分けて整理します。
例題4 優先順位の条件を読む
架空の会社が、同じ評価基準で「リスク点＝影響度×発生可能性」と決めた。Aは影響度5・可能性2、Bは影響度3・可能性4。点数の高い順に対策を検討するなら、先はどちら？
答え・考え方を確認する
Bです。Aは10点、Bは12点です。
影響度だけを見るとAですが、この設問は積で比較するルールです。これは例題内の評価モデルで、すべての組織や試験に一律に適用する算式ではありません。法令など、点数だけで後回しにできない条件も実務では確認します。
本試験の全範囲・問題形式に対応する模試ではありません。6テーマの一覧と収録範囲を見る →