ISMSにおける情報セキュリティリスク分析の進め方

正解は「エ」です。 ISMS（情報セキュリティマネジメントシステム）におけるリスク分析では、組織が直面する情報セキュリティリスクの種類、規模、保有する資産、法規制、業務の特性が業界や業種によって大きく異なるため、画一的な方法を強制するのではなく、自組織の事業環境や目的に適合した適切なリスク分析手法（詳細リスク分析、ベースラインアプローチなど）を選択・適用することが求められます。 リスク値は一般に「資産価値 $\times$ 脅威 $\times$ 脆弱性」等で算定されるため、脅威と脆弱性が同じであれば、資産価値が小さいほどリスク値も「小さく」なります。 組織のリソースには限りがあるため、資産の重要度や想定損害額に応じてメリハリをつけ、重要な資産・システムに重点を置いて詳細分析を行います。 ISMSのリスク分析対象は電子データだけでなく、契約書や顧客名簿などの紙媒体の情報資産もすべて対象に含まれます。

ISMSにおけるリスク分析に関する記述として，適切なものはどれか。

出典平成30年度春期 ITパスポート試験 公開問題 問70
ア
異なる情報資産について，脅威と脆弱性のレベルが同じであれば，その資産価値が小さいほどリスク値は大きくなる。
イ
システムの規模や重要度にかかわらず，全てのリスクを詳細に分析しなければならない。
ウ
電子データは分析の対象とするが，紙媒体のデータは対象としない。
エ
リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。