ITパスポート 2009年 秋期 問45

情報システムの安定稼働を妨げる脅威への事前対策に関する説明【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で「事前対策に関する説明」を求めている点を確認する。
2. 各選択肢が「現実的か」「合理的か」「網羅的か」を基準に評価する。
3. 情報セキュリティや災害対策は完全無欠にできないため、コストと効果の観点（トレードオフ）で判断する説明が適切と判断する。

選択肢別の誤答解説

• なぜ誤りか：外部からの不正侵入（外部からの不正アクセス）を完全に阻止するのはほぼ不可能です。内部の人（従業員や委託先）による不正や設定ミス、ソフトウェアの脆弱性、物理的な盗難など、対策すべき脅威は多様です。したがって「外部のみ完全に防げば良い」は不十分です。

• なぜ誤りか：自然災害（地震・台風・洪水など）も発生確率や被害想定を行って対策（データセンターの分散、耐震対策、代替拠点の準備など）できます。予測困難だからと無視するのは危険です。人的災害（人為的ミスや不正）だけに絞るのは偏った対策になります。

• なぜ誤りか：バックアップ（データの複製を別の場所に保存しておくこと）は重要ですが、盗難や不正利用、システム長期停止、機密情報の漏えいなどはバックアップだけでは防げません。復旧手順やアクセス制御、暗号化、予防的なセキュリティ対策も必要です。

• なぜ正しいか：損失の大きさ（例：データ損失で失う売上や再構築費用）と対策にかかる費用を比較して、優先順位を付けるのが合理的です。これにより限られた資源を最も効果的に使えます。

よくある誤解

1. 「完全に防げる対策があるはずだ」という思い込み
   • 現実にはコストや技術的制約で100%防御は困難です。重要なのはリスクの低減と影響の最小化です。
2. 「バックアップさえあれば安心」
   • バックアップはリカバリ（復旧）の一部です。バックアップの保管場所や暗号化、復元手順の確認が伴わないと意味が薄くなります。
3. 「発生確率が低いものは対策不要」
   • 発生確率が低くても影響が甚大（例えば重要システムの長期停止）なら、対策が必要です。確率だけで判断せず、影響の大きさも見ること。

補足コラム

• 単一事象の損失額をSLE（Single Loss Expectancy：1回の損失額）とし、年に何回起きるかの確率をARO（Annual Rate of Occurrence：年間発生率）とすると、年単位の予想損失額 ALE（Annualized Loss Expectancy：年平均損失額）は次の式で表せます。 $$ALE=SLE\times ARO$$ 例：1回の平均損失が100万円、年に0.2回（5年に1回）であれば $ALE=100万\times 0.2=20万$ 円。対策費が50万円かかるなら、単年ベースでは回収しにくいが、非金銭的な影響（信用失墜等）も考慮すべきです。

• 事業を止めないための計画です。事前対策（予防）だけでなく、被害後の復旧手順や代替手段も含みます。リスク評価と対応計画の両方が重要です。

FAQ