情報資産とリスクの実務

A社は従業員120名の産業機器の販売会社である。営業部のBさんは部門の情報セキュリティリーダーに任命され、営業部の情報資産台帳を初めて作成することになった。営業部には、顧客管理システムに登録された顧客担当者の連絡先、紙の契約書、展示会で受け取った名刺、見積書のExcelファイル、貸与ノートPC、営業支援のクラウドサービスがある。Bさんが情報システム部に相談したところ「サーバ上のデータは把握しているが、部門が個別に持っている情報は分からない」と言われた。Bさんが台帳作成にあたって最初に行うべきことはどれか。

1. 営業部が業務で扱っている情報を、電子データ・紙・機器・外部サービスの区別なく洗い出す
2. 顧客管理システムに入っているデータだけを対象に、機密性・完全性・可用性の評価値を決める
3. 情報システム部が管理しているサーバの一覧をそのまま営業部の台帳として転記する
4. 台帳ができていないことを情報セキュリティ委員会に報告し、全社としての指示が出るまで待つ

A社営業部のBさんは、部内の情報を洗い出して情報資産台帳の初版を作成した。営業部が扱っているのは、販売管理サーバに登録された顧客の連絡先、3階書庫に保管する契約書の原本、展示会や訪問で受け取った名刺、共有フォルダに置いた見積書のひな形などである。Bさんは各資産について、利用部門・管理責任者・保管場所・媒体・件数の欄を埋めた。名刺については「部員がそれぞれ受け取って自分で持っている」と聞いたため、そのまま記載した。作成した台帳を上司に提出する前に、Bさんは記載の仕方に問題がないかを点検している。この台帳の記載のうち、最も見直しが必要なものはどれか。

No  資産名          利用部門  管理責任者    保管場所          媒体  件数1   顧客連絡先一覧  営業部    営業部長      販売管理サーバ    電子  8,4002   契約書原本      営業部    営業事務課長  3階書庫(施錠)     紙    1,2003   受領した名刺    営業部    営業部全員    各自の名刺入れ    紙    不明4   見積書ひな形    営業部    営業企画課長  部門共有フォルダ  電子  40

1. No.1 — 件数が多い資産は、必ず件数ごとに複数の行に分けて記載しなければならない
2. No.2 — 紙の書類は情報資産台帳の対象外なので、この行は台帳から削除する必要がある
3. No.3 — 管理責任者が個人に特定されておらず、保管場所も件数も把握されていない
4. No.4 — 社外に持ち出さない資産は、台帳に記載する必要がない

A社では、営業部が受注時に入力した顧客情報を、物流部が配送先の確認に使い、経理部が請求書の発行に使っている。顧客情報は情報システム部が運用する販売管理システムに格納されている。情報資産台帳の作成にあたり、この顧客情報の管理責任者を誰にするかで各部門の意見が合わない。物流部と経理部は「利用しているだけだ」と主張し、情報システム部は「サーバを預かっているだけで中身は分からない」と述べている。管理責任者の決め方として最も適切なものはどれか。

1. 情報を格納したシステムを運用する情報システム部の部長を管理責任者とし、営業部・物流部・経理部は利用部門として台帳に併記する
2. 情報を業務上生み出し、内容と利用範囲に責任をもつ営業部の責任者を管理責任者とし、物流部・経理部は利用部門として台帳に併記する
3. 利用している3部門の部長を連名で管理責任者として登録し、合議で判断する
4. 管理責任者は決めずに、利用している部門だけを台帳に記載しておく

A社では情報資産台帳を毎年3月の棚卸しで更新することにしている。今年度の営業部では、4月の人事異動で顧客管理システムの担当者が交代した。6月には新しい営業支援クラウドサービスを導入し、商談履歴の保存を始めた。9月には紙の契約書1,000件を社内の書庫から外部倉庫へ移した。11月には契約社員1名が退職し、担当していた見積書ファイルを他の部員が引き継いだ。Bさんは「年次棚卸しは3月なので、それまで台帳はこのままでよい」と考えている。この考えに対する指摘として最も適切なものはどれか。

1. 資産に変化があった時点で随時更新し、年次棚卸しは全体の抜けを埋める場と位置付けるべきである
2. 台帳の更新はシステム更改のときだけ行えばよく、人事異動や保管場所の変更は更新の対象からは外す
3. 台帳は作成した時点の記録であるから確定後は一切変更せず、翌年度になったら新しい台帳を作り直す
4. クラウドサービスに保存した情報は事業者側が管理するものであるから、自社の台帳に載せる必要はない

A社営業部のBさんは、部内アンケートで情報資産を洗い出した。集まった回答は、顧客管理システムのデータ、共有フォルダの提案書、書庫の契約書の3つだけだった。しかし実際に部内を見て回ると、貸与ノートPCのデスクトップに顧客リストのExcelを置いている部員、個人契約の無料クラウドストレージに提案書を保存して自宅から編集している部員、展示会で受け取った名刺を引出しに束で入れている部員、退職した先輩から引き継いだUSBメモリを保管している部員がいた。いずれもアンケートの回答には含まれていない。Bさんの対応として最も適切なものはどれか。

1. アンケートに書かれた資産だけを台帳に載せ、それ以外は個人が管理する持ち物として扱う運用とする
2. 無料のクラウドストレージの利用を禁止する規程を新たに作ることをもって、洗い出しの作業を完了とする
3. 実地の確認で見つかった情報も台帳に載せたうえで、自己申告だけに頼らない洗い出し方法に見直す
4. 名刺やUSBメモリは少量なので件数を数えず、まとめて「その他」として1件で登録する

A社営業部のBさんは、部門の情報資産台帳を作成し、管理の行き届いていない資産がないかを点検することになった。上司からは「すべてを一度に確認する時間はないので、危ないところから見てほしい」と言われている。台帳には資産ごとに媒体・保管場所・件数・持出しの可否を記載してある。Bさんは、記載内容そのものから管理の状況が読み取れると考え、各行を比べている。台帳の抜粋を次に示す。実態の確認を最も優先すべき資産はどれか。

No  資産名          媒体  保管場所                    件数   持出し1   顧客連絡先一覧  電子  社内ファイルサーバ          8,400  不可2   契約書原本      紙    3階書庫(施錠)               1,200  不可3   商談メモ        電子  各自の貸与PCのデスクトップ  不明   可4   請求書控え      紙    営業部キャビネット(施錠)    3,000  不可

1. No.1（顧客連絡先一覧）
2. No.2（契約書原本）
3. No.3（商談メモ）
4. No.4（請求書控え）

A社営業部のC主任が来月末で退職することになった。C主任は担当顧客20社の商談履歴を貸与ノートPCのローカルフォルダと業務用メールの受信箱に保存しており、部門共有フォルダには一部しか置いていない。また、顧客から預かった図面の入ったUSBメモリを自席の引出しに保管している。上司から「退職までに引継ぎを済ませてほしい」と言われたBさんは、情報セキュリティリーダーとして手順を整理することになった。Bさんが最初に行うべきことはどれか。

1. C主任が使っていたノートPCを退職日にまとめて初期化し、貸与していたUSBメモリは中身を確認せずに廃棄する
2. C主任が業務で保有している情報を洗い出して一覧にし、どれを情報資産として引き継ぐかを管理責任者と確認する
3. C主任に貸与している社内アカウントを直ちにすべて停止し、退職日までの間は社内システムを一切利用できないようにする
4. C主任の業務用メールの受信箱を上司がすべて閲覧して、必要と思われるメールを部門の共有フォルダへ順に転送する

A社営業部では、業務効率化のため、ある部員がオンラインのアンケートサービスを無料プランで契約していた。このサービスで展示会来場者の氏名・会社名・メールアドレスを収集し、後日の営業活動に使っている。情報システム部への利用申請はしておらず、部内でも一部の担当者しか存在を知らなかった。Bさんが情報資産の洗い出しの過程でこれを見つけたところ、収集済みの件数は約600件だった。サービスの管理画面には、部員2名の個人アカウントでログインできる状態になっていた。Bさんの対応として最も適切なものはどれか。

1. 無料プランで費用が発生していないため、台帳には登録せず、そのまま利用を継続させる
2. 収集した個人情報を直ちにすべて削除してサービスを解約したうえで、社内への報告や台帳への記録についてはいずれも省略する
3. 収集している情報と利用状況を台帳に記録したうえで、社内の利用申請手続を行い、サービス提供者の安全管理措置を確認する
4. アカウントを持つ2名の氏名を管理責任者欄に記載し、以後の管理はこの2名に一任する

A社では今年度から全部門で情報資産台帳を整備することになり、総務部が説明会を開いた。営業部のBさんは説明会の後、複数の部員から「どこまでを情報資産として台帳に載せるのか」と質問を受けた。営業部にあるのは、顧客データベース、紙の契約書、貸与ノートPCとスマートフォン、見積作成ソフト、外部の営業支援クラウドサービスなどである。さらに、ベテラン社員だけが知っている値引き交渉のノウハウもある。ある部員は「会社の備品台帳に載っている機器は情報資産ではないはずだ」と主張し、別の部員は「クラウド上のデータは事業者のものだ」と述べている。情報資産の範囲についての説明として最も適切なものはどれか。

1. 電子データだけが情報資産であり、紙の書類や機器、外部サービスは情報資産には含めない
2. 自社が所有し社内に置いているものだけが情報資産であり、外部のクラウドサービス上に保存した情報や人が持つ知識までは含まない
3. 金銭的な価値を見積もれるものだけを情報資産とし、人が持つノウハウのように見積もれないものは対象から外す
4. 電子データ・紙の書類・機器・ソフトウェア・外部サービス・人が持つ知識のいずれも、業務上の価値があれば情報資産として扱う

A社では情報資産の重要度を決めるルールを全社で統一している。機密性・完全性・可用性をそれぞれ高（3）・中（2）・低（1）の3段階で評価する。そのうえで、3つの評価値のうち最大の値をその資産の重要度とすると定めている。営業部のBさんは、このルールに従って部門の主な資産を評価し、次の結果を得た。Bさんは、重要度が「高」になる資産を抜き出して優先的に対策を検討しようとしている。このルールに従ったとき、重要度が「高」となる資産の組合せはどれか。

No  資産名          機密性  完全性  可用性1   顧客連絡先一覧  高      中      中2   見積書ひな形    低      中      低3   受注データ      中      高      高4   展示会案内文    低      低      低

1. No.1とNo.2
2. No.1とNo.3
3. No.2とNo.3
4. No.3とNo.4

A社営業部のBさんは、部員に評価の考え方を説明するため、顧客ごとの値引き率を記載した価格表を例に取り上げた。この価格表が競合他社に渡ると価格交渉で不利になる。数値が誤って書き換えられると、誤った金額の見積を顧客に提示してしまい、後から取り消すことになる。一方、システムの障害で半日ほど閲覧できなくなっても、前月に印刷した紙の控えで代替できるため業務は続けられる。この価格表の評価として最も適切なものはどれか。

1. 機密性 高・完全性 高・可用性 低
2. 機密性 低・完全性 高・可用性 高
3. 機密性 高・完全性 低・可用性 高
4. 機密性 低・完全性 低・可用性 低

A社営業部では、情報資産の評価を各担当者の判断に任せたところ、ほぼすべての資産が「機密性 高」と評価された。社内の取扱い基準では、機密性が高の資産は施錠書庫での保管、持出し時の上長承認、社外共有時の暗号化と受渡し記録の作成が必要である。その結果、展示会の案内文や公開済みの製品カタログを持ち出すときにも承認が必要になった。承認件数は月に十数件から二百件近くまで増えた。やがて上長は内容を確認せずに押印するようになり、本当に注意が必要な顧客名簿の持出しも素通りしていることが分かった。Bさんがとるべき対応として最も適切なものはどれか。

1. 承認にかかる手間を減らすため、持出しのときの上長による承認そのものを、重要度にかかわらずすべての資産について廃止する
2. 営業部が保有する全資産の評価を一律に「中」へ引き下げたうえで、機密性の高い資産も含めて取扱いの基準を大きく簡素化する
3. 資産の評価の値はそのままにしておき、持出しのときの承認者を、上長から実際に社外へ持ち出す担当者本人へとすべて変更する
4. 影響の大きさで判断できる評価基準を示して評価をやり直し、公開情報など影響が小さい資産の評価値を実態に合わせて下げる

A社では、情報資産の重要度に応じた取扱い基準を定めている。営業部のBさんは、重要度が「高」と格付けされている顧客連絡先一覧について、取引先との共同キャンペーンのために社外の代理店へ提供するよう営業部長から依頼された。代理店とは業務委託契約を結んでいるが、秘密保持に関する条項が含まれているかをBさんは確認していない。営業部長からは「キャンペーンの開始が近いので急いでほしい」と言われている。取扱い基準の抜粋を次に示す。Bさんが最初に行うべきことはどれか。

重要度  保管                  持出し        社外共有                廃棄高      施錠書庫または暗号化  上長承認必須  契約と部門長承認が必要  溶解またはデータ消去の記録中      施錠書庫              上長承認必須  上長承認が必要          溶解またはデータ消去低      指定なし              承認不要      承認不要                一般廃棄可

1. 代理店の担当者宛てにパスワード付きの圧縮ファイルで送り、パスワードは別便で伝える
2. 顧客連絡先一覧の重要度を「中」に変更し、上長承認だけで提供できるようにする
3. 代理店との契約に秘密保持の条項があるかを確認し、部門長の承認を得る手続を進める
4. 提供する件数を100件に絞れば重要度が下がるため、抜粋版を作成して承認を得ずに提供する

A社営業部では、営業日報のファイルを「社内で共有している書類だから」として重要度「低」と評価し、部員なら誰でも編集できる共有フォルダに置いていた。日報には訪問先の担当者名や役職、面談内容に加え、他社との取引条件が記載されていることがある。ある日、派遣社員が操作を誤って日報フォルダを全社共有フォルダにコピーし、他部門の全従業員が閲覧できる状態が2週間続いた。Bさんはこの出来事を受けて評価を見直すことになった。見直しの考え方として最も適切なものはどれか。

1. 日報は毎日更新されて内容が入れ替わるので、評価の対象からは除外する
2. 日報に含まれる情報が漏えいしたときの影響で評価し直し、取引条件など影響の大きい情報を含む場合は機密性の評価値を上げて対応する取扱いルールを適用する
3. 今回の原因は派遣社員の操作ミスにあるため、日報の評価は変えずに、操作した派遣社員のアカウントを削除して再発を防ぐ
4. 全社共有フォルダのアクセス権を見直して他部門の従業員から日報が見えないようにすれば足りるため、日報の機密性の評価値は現状のまま据え置く

A社では、機密性の評価基準として「漏えいすると法令上の報告義務や損害賠償が生じるおそれがある情報は高とする」「すでに公開されている情報は低とする」「どちらにも当てはまらない情報は中とする」と定めている。営業部では担当者ごとに分担して評価を行い、Bさんが結果を取りまとめた。取りまとめの過程で、担当者によって当てはめ方が違っている可能性があるとBさんは感じている。特に、収集した場面が社外のイベントであるかどうかで評価が分かれていた。営業部の評価結果を次に示す。この評価のうち、基準に照らして見直しが必要なのはどれか。

No  資産名                  含まれる情報                                機密性の評価1   顧客連絡先一覧          顧客担当者の氏名・電話番号・メールアドレス  高2   展示会来場者アンケート  来場者の氏名・勤務先・メールアドレス        低3   契約書原本              取引条件・押印済みの署名                    高4   製品カタログ(公開版)    公開済みの製品仕様と価格                    低

1. No.1（営業部の顧客連絡先の一覧）
2. No.2（展示会来場者アンケート）
3. No.3（契約書原本）
4. No.4（Webで公開中の製品カタログ）

A社では各部門が独自の言葉で情報資産を評価していた。営業部は「重要・普通・軽微」、製造部は「A・B・C」、経理部は「1〜5の5段階」を使っている。全社のリスクアセスメントで部門をまたいで比較しようとしたところ、どの資産を優先して対策すべきかを判断できなかった。さらに、同じ「重要」でも部門によって当てはめる考え方が違っていることも分かった。情報セキュリティ委員会の事務局を務めるBさんの提案として最も適切なものはどれか。

1. 各部門の評価の表記はそのままにし、部門ごとに上位3件を選んで全社の対策対象とする
2. 最も細かい経理部の5段階に他部門の表記をすべて合わせることとし、どの段階に当てはめるかの判断基準はこれまでどおり各部門の裁量に任せる
3. 全社の評価は情報システム部が一括して行い、各部門は評価に関与させない運用とする
4. 評価の段階と、その段階に当てはめる判断基準（漏えい・改ざん・利用停止したときの影響）を全社共通で定め、各部門が同じ基準で評価し直す

A社営業部では、受注データを販売管理システムに入力しており、出荷指示と請求はすべてこのデータをもとに行われる。システムが止まると当日の出荷ができず、1日止まると約2,000万円の売上が翌月にずれ込むうえ、取引先への納期遅延も生じる。一方、過去の商談メモを保存した共有フォルダは、1週間使えなくても日々の業務に大きな支障はない。件数は商談メモのほうが受注データより多い。Bさんは両者の可用性の評価を決めることになった。最も適切な考え方はどれか。

1. どちらも社内の業務で日常的に使っている情報であるため、可用性の評価値はどちらも同一の値にそろえて設定する
2. 保存されている件数が多い商談メモのほうを、受注データよりも可用性の評価値が高くなるように見直して設定する
3. 使えなくなったときに業務が止まる度合いと許容できる停止時間で評価し、受注データを高、商談メモを低とする
4. 可用性はシステムを運用している情報システム部が決める事項であり、利用部門である営業部は評価への関与を控える

A社営業部では、顧客連絡先一覧を社内ファイルサーバに置き、部員全員がアクセスできる設定にしている。先月、退職者のアカウントが削除されないまま残っていたことが分かった。部員は外出先からも社給ノートPCでVPN接続して同じファイルを参照している。Bさんはこの資産についてリスクアセスメントを始め、まずリスク特定を行うことになった。リスク特定として行う作業に最も適切なものはどれか。

1. 顧客連絡先一覧に対する脅威（不正アクセス、内部不正、紛失など）と、それにつけ込まれる脆弱性（不要なアカウントの放置、権限の与えすぎなど）を組み合わせて、起こりうる出来事を洗い出す
2. 洗い出したリスクについて対策にかかる費用を見積もり、予算内に収まるものから順に実施して、実施状況を記録する
3. 顧客連絡先一覧について、発生可能性と影響度をそれぞれ見積もって掛け合わせ、リスクの大きさを算出したうえで受容基準と比較する
4. 顧客連絡先一覧に残っている退職者のアカウントを直ちに削除し、あわせて部員全員のアクセス権を業務上必要な範囲まで絞り込んだうえで、この資産についての一連の作業はここですべて終えたものとする

A社ではリスクレベルの算出方法と受容基準を規程で定めている。リスクレベルは「発生可能性（高3・中2・低1）×影響度（高3・中2・低1）」の積で求める。積が6以上のものを受容できないリスクとし、優先的に対応することにしている。営業部のBさんは、この方法で部門のリスクを分析し、次の結果を得た。上司からは「まず1件に絞って対策を進めたい」と言われている。この基準に従うとき、優先的に対応すべきリスクはどれか。

No  リスク                          発生可能性  影響度  積1   顧客連絡先一覧の外部への漏えい  低(1)       高(3)   32   退職者アカウントによる不正閲覧  中(2)       高(3)   63   紙の契約書の紛失                中(2)       中(2)   44   展示会案内文の誤送信            高(3)       低(1)   3

1. No.1（顧客連絡先一覧の外部への大量漏えい）
2. No.2（退職者アカウントによる不正閲覧）
3. No.3（紙の契約書の紛失）
4. No.4（展示会の案内文の宛先誤りによる誤送信）

A社営業部では、リスクアセスメントの結果を受けてリスク対応の方針を決める会議を開いた。会議には営業部長、Bさん、情報システム部の担当者が出席した。議論の結果、4つのリスクについてそれぞれ異なる考え方の対応をとることになった。Bさんは、決めた内容を全社の情報セキュリティ委員会に報告するため、リスク対応の種類ごとに分類する必要がある。決定内容を次に示す。それぞれの対応をリスク回避・リスク低減・リスク移転・リスク保有（受容）に分類したとき、正しい組合せはどれか。

No  リスク                      決めた対応1   展示会での名刺収集時の紛失  名刺の収集をやめ、来場者情報は取引先経由でのみ受け取る2   ファイルサーバへの不正侵入  アクセス権の見直しと多要素認証の導入を行う3   サイバー攻撃による損害賠償  サイバー保険に加入する4   社内掲示板の記載誤り        影響が小さいため対策は行わず、記録を残して年次で再評価する

1. 1＝回避　2＝低減　3＝移転　4＝保有
2. 1＝低減　2＝回避　3＝保有　4＝移転
3. 1＝移転　2＝低減　3＝回避　4＝保有
4. 1＝回避　2＝移転　3＝低減　4＝保有

A社営業部では、顧客連絡先一覧の漏えいリスクについてアクセス権の見直しなどの低減策を実施したが、リスクレベルは受容基準をわずかに上回る値のまま残った。追加対策として専用の持出し管理システムの導入が考えられるものの、費用は年間800万円かかる。一方、このリスクによって想定される損害額は年間100万円程度と見積もられた。Bさんは残ったリスクの扱いを整理している。最も適切な対応はどれか。

1. 費用が見合わないため、情報セキュリティリーダーであるBさんの判断でリスクを受容することとし、記録は特に残さない
2. 受容基準を上回っている以上、費用にかかわらず必ず追加の対策を実施する
3. 費用対効果と残るリスクの内容を整理して責任をもつ管理層に説明し、残留リスクとして承認を得たうえで記録する
4. リスクレベルの計算方法を変更し、受容基準の範囲内に収まるように評価をやり直す

A社では毎年4月にリスクアセスメントを実施している。今年度は6月に営業支援クラウドサービスを新たに導入し、顧客情報の保存を始めた。9月には個人情報の取扱いに関する法令の改正が施行された。11月には他部門でマルウェア感染のインシデントが発生し、全社に注意喚起が出された。1月には営業部と営業企画部が統合され、責任者と権限の範囲が変わった。Bさんは「次のアセスメントは4月なので、それまでは現状の結果のままでよい」と考えている。この考えに対する指摘として最も適切なものはどれか。

1. リスクアセスメントは年1回と決めた以上、期中に起きた変化は次回のアセスメントでまとめて反映すればよく、その都度の見直しは不要である
2. 他部門で起きたインシデントは自部門には関係しないため、見直しの理由にはならない
3. 法令改正への対応は法務部の担当であり、営業部のリスクアセスメントの見直し理由にはならない
4. 新しいサービスの導入、法令改正、インシデントの発生、体制変更はいずれもアセスメントの前提が変わる出来事であり、その都度見直す必要がある

A社営業部のBさんは、部門で初めてリスクアセスメントを行うことになった。手元には先週完成した情報資産台帳があり、資産名・管理責任者・機密性/完全性/可用性の評価値・重要度が記載されている。上司からは「使える時間が限られているので、優先度の高いものから対策を打ちたい」と言われている。社内にはリスクレベルの算出方法と受容基準を定めた規程がある。Bさんが次に行うべきこととして最も適切なものはどれか。

1. 台帳に載っているすべての資産について、対策に使える製品の見積を複数の業者から取り寄せて費用と効果を比較検討する
2. 重要度の高い資産から順に、脅威と脆弱性の組合せでリスクを洗い出し、発生可能性と影響度でリスクレベルを求める
3. 他社で起きた事故の事例を集め、同じ対策をすべての資産に一律に適用していく
4. 受容基準を用いずに、思いついた対策から順に実施する

A社営業部では、リスクアセスメントの結果に基づいてリスク対応計画を作成した。計画には、対象のリスク、対応策、責任者、期限、実施後に残る残留リスクの扱いを記載する様式になっている。作成は各リスクの担当者が分担して行い、Bさんが取りまとめた。取りまとめの段階で、一部の行が空欄や不明確な表現のまま提出されていることにBさんは気付いた。作成した計画の抜粋を次に示す。この計画のうち、最も見直しが必要なものはどれか。

No  リスク                      対応策                        責任者            期限            残留リスクの扱い1   退職者IDによる不正閲覧      退職手続にID即時停止を組込み  営業事務課長      10月末          受容し記録する2   紙の契約書の紛失            施錠書庫での保管と持出し記録  営業部長          11月末          受容し記録する3   ノートPC紛失時の情報漏えい  全台のディスク暗号化          情報システム部長  12月末          受容し記録する4   顧客情報の誤送信            注意喚起の周知                未定              できるだけ早く  未検討

1. No.1 — 対応策が技術的な手段ではなく、運用手順だけに頼ったものになっている
2. No.2 — 責任者が部長になっており、役職として高すぎるため実効性を欠いている
3. No.3 — 責任者が営業部ではなく、まったく別の部門の責任者に割り当てられている
4. No.4 — 責任者と期限が定まっておらず、残留リスクの扱いも決まっていない

A社営業部では、顧客情報を保存したノートPCの紛失による情報漏えいリスクの対応を検討している。漏えいが起きた場合に想定される損害は1件あたり500万円で、過去の実績から紛失は5年に1回程度、すなわち年間0.2件の発生が見込まれる。案アはディスク暗号化ソフトの導入で年間30万円かかり、紛失しても漏えいはほぼ防げる。案イは持出し用PCを紛失防止機能付きの機種に全数入れ替えるもので年間400万円かかる。案ウは対策を行わず、紛失時に顧客へ見舞金を支払うもので年間の想定支出は100万円である。Bさんが経営会議で説明する内容として最も適切なものはどれか。

1. 年間の想定損害額は100万円であり、年間30万円で漏えいをほぼ防げる案アが費用対効果の面で最も優れている
2. 最も強力な対策である案イを選ぶべきであり、年間400万円という対策費用の大きさはあえて考慮する必要はないといえる
3. 対策にかかる費用がいずれも想定される年間の損害額を上回るため、いずれの対策も実施せず、案ウをそのまま選択する
4. リスクの大きさはそもそも金額で表せないものであるため、対策についての費用対効果の比較そのものを行わずに省略する