問題
次の文章の$\boxed{ }$内に、選択肢の中から最も適したものを選び、その番号を記せ。
情報セキュリティに関するリスク分析手法の一つで、既存のガイドラインを参照するなどして、あらかじめ組織として確保すべきセキュリティレベルを設定し、それを実現するための管理策の組合せを決定してから、組織全体でセキュリティ対策に抜けや漏れが無いように補強していく手法は、一般に、$\boxed{ }$といわれる。
| ① | 非形式的アプローチ |
| ② | ベースラインアプローチ |
| ③ | 組合せアプローチ |
| ④ | 詳細リスク分析 |
正解 2
情報セキュリティのリスク分析手法には、様々なアプローチが存在する。以下は各選択肢の詳細な説明である。
- ①非形式的アプローチ：具体的な方法論や手法に従わず、経験や直感に基づいてリスク分析を行うアプローチ。
- ②ベースラインアプローチ：既存のガイドラインや標準を参照して、組織として確保すべきセキュリティレベルを設定し、そのレベルを実現するための管理策を決定するアプローチ。このアプローチでは、設定したベースラインに基づいてセキュリティ対策を補強していく。
- ③組合せアプローチ：複数のリスク分析手法を組み合わせてリスク分析を行うアプローチ。
- ④詳細リスク分析：具体的なリスク要因や脅威を詳細に分析し、それに対する対策を決定するアプローチ。
したがって、既存のガイドラインを参照して組織全体でセキュリティ対策を補強していく手法は「②ベースラインアプローチ」といわれる。
ポイント
- ベースラインアプローチの特徴:
- 標準的なガイドラインに沿って一律のセキュリティ対策を迅速に導入できるため、コストや手間の軽減に向いています。
- リスク分析の主な種類:
- ベースラインアプローチ: ガイドラインベースで効率的に最低限の対策を講じる。
- 詳細リスク分析: 個々の資産ごとのリスクを詳細に算出して対応を決定する。
重要語句
| 用語 | 解説・特徴 |
| ベースラインアプローチ | 既存のガイドライン等を基に、組織全体で一律に満たすべきセキュリティ基準を適用する手法。 |
| 詳細リスク分析 | 資産価値や脅威・脆弱性を個別に分析・評価し、コスト対効果の高い対策を検討する手法。 |
| ベストプラクティス | 特定の分野において最も効率的・効果的とされる標準的な規範や実践手法。 |
