情報セキュリティ担当者が、ノートPCの紛失による情報漏えいのリスクを「影響：大、 発生可能性：中」と分析して経営会議に報告した。すると、年間300万円の対策費をかける 価値があるかを、費用と比べられる形で示すよう求められた。分析の進め方として 最も適切なものはどれか。

正解：ウ

各選択肢の解説

1. ア影響と発生可能性の段階を5段階に細かく分け直し、リスクマトリックス上の位置で示す。

   誤り。段階を細かくしても、「大・中・小」のような区分で表す定性的分析のままです。 マトリックスはリスクどうしの大小や優先順位を比べるのには向きますが、 金額にならないので、300万円の対策費と直接は比べられません。

2. イ同業他社が同じ対策にかけている費用を調べ、他社並みの水準かどうかで示す。

   誤り。他社の水準に合わせる考え方で、自社のリスクの大きさを測っていません。 持ち出すPCの台数や扱う情報が違えば、同じ費用でも見合うかどうかは変わります。 求められているのは、自社のリスクと対策費の比較です。

3. ウ過去の紛失件数から年間の発生回数を見積もり、1件当たりの損失額を掛けて年間の予想損失額を出す。

   正解。リスクの定量的分析です。発生頻度と1回当たりの損失額から年間の予想損失額を 金額で出せば、対策でどれだけ減るかを対策費と同じ単位で比べられます。

4. エ影響が大きいリスクなので、リスク基準に照らして対策が必要だという評価の結果を示す。

   誤り。リスク基準と比べて対応が要るかを決めるのはリスク評価で、分析の次の段階です。 対策が要ることは示せても、300万円という費用に見合うかという問いには答えていません。 対策の要否と、費用の妥当性は別の問いです。

理解を深めるために