基本情報技術者 2014年 春期 午後 問01

　Z社は、従業員数が500の中堅SIベンダである。Z社では、プロジェクト開始前に、プロジェクトで扱う情報資産について、図1に示す自社で定めた手順に従って、リスクアセスメントを実施している。このたび、新規に受注したプロジェクトYに対して、リスクアセスメントを実施することになった。

〔プロジェクトYの説明（抜粋）〕 (1) 顧客が利用する購買システムを開発する。 (2) 開発で利用するテストデータは顧客から提供される。 (3) 顧客のテストデータを格納した顧客のUSBメモリを、プロジェクトメンバが顧客から受け取って自社に持ち帰り、顧客のテストデータを開発用サーバに複写後、USBメモリから削除する。 (4) Z社から顧客の事務所を訪問するのに、電車で1時間30分ほど要する。 (5) 開発用PCでプログラムを開発し、適宜、開発用サーバにアップロードする。 　 〔Z社の開発環境（抜粋）〕 (1) プログラムの開発には、開発用サーバと開発用PCを利用する。 (2) 開発用サーバは、施錠されたサーバルームに設置されている。 (3) 開発用サーバは、アクセス管理がされており、プロジェクトメンバとシステム管理者だけがアクセスできる。 (4) 開発用PCは、プロジェクト開始時にシステム部から各プロジェクトメンバに貸与され、プロジェクト終了時に返却される。 　 〔Z社の開発標準（抜粋）〕 (1) 開発時、プロジェクトメンバは顧客のテストデータのうち必要なものだけを、開発用サーバから自分の開発用PCにダウンロードし、不要になったら削除する。 (2) プロジェクト終了時に、プロジェクトマネージャは開発用サーバの顧客のテストデータを削除し、全ての開発用PCから顧客のテストデータが削除されていることを確認する。 　 〔Z社のリスク値算出方法〕 　Z社では、各情報資産のリスク値を、次の式で算出する。 　リスク値 = 情報資産の価値 × 脅威 × 脆弱性 　ここで、“情報資産の価値”とは情報資産が損なわれたときの影響の大きさを意味し、機密性（以下、Cという）、完全性（以下、Iという）、可用性（以下、Aという）の観点に対して、影響の大きさをそれぞれ1〜3の値で評価する。“脅威”は、発生の可能性の大きさを1〜3の値で評価する。“脆弱性”は、脅威が発生した場合に被害が顕在化する度合いの大きさを1〜3の値で評価する。ここで、各1〜3の値は大きい場合を3、小さい場合を1とする。 　C、I、Aごとに算出したリスク値が全て12以下ならばリスクを受容し、そうでないならば追加のリスク対策を実施することにしている。 　 〔リスクの特定〕 ① 情報資産の洗出し 　プロジェクトYで扱う情報資産の洗出しを行った。その結果を、表1に示す。

② 情報資産の価値の数値化 　表1の各情報資産に対して、C、I、Aのそれぞれについてその価値を評価した値と評価理由を、表2に示す。

③ 脅威の数値化 　表2の情報資産のうち、情報資産No.4（顧客のテストデータ）について、脅威の内容と脅威の値を、表3に示す。

④ 脅威に対する脆弱性の数値化 　表3の各脅威に対する脆弱性の低減策と脆弱性の値を、表4に示す。脆弱性の値は、システム、規則又は運用で、二つ以上対策済みなら1、一つだけなら2、未対策は3とする。

　 〔リスクの分析評価〕 　表2〜4を基に情報資産No.4（顧客のテストデータ）のリスクの分析評価を行い、リスク値を算出した結果を、表5に示す。

　プロジェクトYのプロジェクトマネージャは、リスクの分析評価の結果からリスク対応計画を作成した。その後、リスク対策を実施した。