【問19】情報・サイバーセキュリティ初級 練習問題｜対策の選び方と費用対効果

解説

正解は3。対策は、守る情報資産の価値や、リスクが顕在化した場合に想定される損失と、対策にかかる費用を比較して選ぶ。損失に比べて費用が過大な対策は見直し、重要な資産には十分な対策をとるという費用対効果の考え方が基本である。JIS Q 27001が求めるリスク対応も、リスクアセスメントの結果に基づいて管理策を選択するものである。1は誤り。高価な製品を一律に導入すると、重要でない資産に過剰な費用がかかる。2は誤り。事故が起きてから対処する方針では、損失が取り返せない規模になるおそれがある。4は誤り。組織ごとに資産や脅威は異なるため、他社の対策を真似て評価を省略してはならない。