情報処理安全確保支援士試験 午前 無料問題 7 / 10 ・ 分野4: 科目A-2 セキュリティ
顧客情報の漏えい事故について、1回あたりの損失額を 800 万円、発生頻度を年 0.25 回と見積もった。次の4つの対策の案のうち、「対策による年間予想損失額の減少分から、対策の年間費用を引いた値」が最も大きいものはどれか。 対策A: 年間費用 20 万円。発生頻度を年 0.2 回に下げる 対策B: 年間費用 30 万円。1回あたりの損失額を 400 万円に下げる 対策C: 年間費用 60 万円。発生頻度を年 0.05 回に下げる 対策D: 年間費用 150 万円。発生頻度を年 0.01 回に下げる
- 対策A
- 対策D
- 対策C
- 対策B
正解と解説を見る
正解: C
正解の理由
年間予想損失額（ALE）は、1回あたりの損失額×年間の発生頻度で求める。現状は 800×0.25＝200 万円である。対策C では 800×0.05＝40 万円になり、減少分は 160 万円、年間費用 60 万円を引いて 100 万円と、4つの中で最も大きい。対策A は 20 万円、対策B は 70 万円、対策D は 42 万円である。
違う選択肢
「対策A」… 対策A の年間予想損失額は 800×0.2＝160 万円で、減少分は 40 万円である。年間費用 20 万円を引くと 20 万円で、4つの中で最も費用は安いが、効果も最も小さい。
「対策B」… 対策B の年間予想損失額は 400×0.25＝100 万円で、減少分は 100 万円である。年間費用 30 万円を引くと 70 万円で、対策C の 100 万円に届かない。
「対策D」… 対策D の年間予想損失額は 800×0.01＝8 万円で、減少分は 192 万円と4つの中で最大である。しかし年間費用 150 万円を引くと 42 万円で、対策C より小さい。
つまずき方
減少分だけを比べると対策D、費用だけを比べると対策A を選んでしまう。定量的なリスク分析では、対策の費用と、それによって減らせる損失を同じ単位（年あたりの金額）にそろえて比べる。減少分が費用を下回る対策は、ほかに理由がなければ採らず、リスクの保有などを検討する。