ITパスポート 2019年 春期 問68

資産のリスク評価で最優先に対応すべきはどれか【ITパスポート 解説】

正解の理由

• 資産価値（Asset Value）：その資産を失ったり損なったりしたときの影響の大きさ。数字が大きいほど重要な資産です。
• 脅威（Threat）：資産に対してダメージを与える可能性のある外的要因の度合い。
• 脆弱性（Vulnerability）：脅威が実際に影響を与えやすい状態であるか（弱点の度合い）。

解法ステップ

1. 表の各行で「資産価値」「脅威」「脆弱性」の値を確認する。
2. 指示どおり掛け算する：資産価値 × 脅威 × 脆弱性。
3. 各資産のリスク値を比べ、最大のものを最優先とする。

• 資産A：$5\times 2\times 3=30$
• 資産B：$6\times 1\times 2=12$
• 資産C：$2\times 2\times 5=20$
• 資産D：$1\times 5\times 3=15$

assets = {
    "A": (5,2,3),
    "B": (6,1,2),
    "C": (2,2,5),
    "D": (1,5,3),
}
risks = {k: v[0]*v[1]*v[2] for k,v in assets.items()}
print(risks)  # {'A': 30, 'B': 12, 'C': 20, 'D': 15}

選択肢別の誤答解説

• ア（資産A）
  正解。計算で最も大きなリスク値（30）になります。資産価値が中程度だが、脅威と脆弱性の掛け合わせで総合的に高くなっています。
• イ（資産B）
  誤り。資産価値は6と高いですが、脅威と脆弱性がそれぞれ1と2で小さいため、リスク値は $6\times 1\times 2=12$ で低くなります。資産価値だけで判断すると間違えやすい点です。
• ウ（資産C）
  誤り。脆弱性が5と高い点に注目されがちですが、資産価値が2と小さいため、リスク値は $2\times 2\times 5=20$ で資産Aより小さいです。
• エ（資産D）
  誤り。脅威は高め（5）ですが、資産価値が1と極端に小さいため、リスク値は $1\times 5\times 3=15$ で資産Aに及びません。

よくある誤解

1. 「資産価値が一番高いものが最優先」
   → 資産価値だけで判断すると誤りです。リスクは資産価値×脅威×脆弱性の掛け算です。価値が高くても脅威や脆弱性が低ければ総合リスクは小さくなります。
2. 「掛け算は不要で足し算すればいい」
   → 問題で指示がある場合はその通りに計算すること。掛け算は一つの要素が0に近いと全体が小さくなる性質があります（影響度の掛け算的な考え方）。
3. 計算ミス（順を追わず暗算で混同）
   → 小さな数の掛け算でも順に書いて計算するとミスが減ります。試験では必ず式を書いて確認しましょう。

補足コラム

• なぜ「掛け合わせる」のか？
  掛け算にすると、どれか一つの要素が大きければリスクが増えますし、逆に一つが小さければ全体が抑えられます。現場では、資産が重要でも脆弱性が低ければ被害が起きにくい、という考え方に合います。
• 他のモデル
  実務では要素に重みを付けたり（例：資産価値をより重要視する）、リスクを足し合わせたりすることもあります。問題文の指示を常に優先してください。

FAQ