資訊資產與風險實務

A公司是員工120人的產業機械銷售公司。營業部的B先生被任命為部門的資訊安全負責人（Leader），首次要為營業部建立資訊資產清冊。營業部擁有的資產包括：登錄於顧客管理系統的顧客窗口聯絡方式、紙本合約書、展覽會上收到的名片、報價單的Excel檔案、公司配發的筆記型電腦，以及用於營業支援的雲端服務。B先生向資訊系統部門諮詢時，對方表示「伺服器上的資料我們掌握，但部門各自持有的資訊我們不清楚」。B先生在建立清冊時，最應優先進行的是下列何者？

1. 向資訊安全委員會報告尚未建立清冊，並等待全公司統一的指示後再行動
2. 將資訊系統部門所管理的伺服器清單，直接轉載作為營業部的清冊
3. 只針對顧客管理系統中的資料，決定其機密性、完整性、可用性的評估值
4. 不分電子資料、紙本、設備、外部服務，全面盤點營業部業務上使用的資訊

A公司營業部的B先生盤點部內資訊後，製作了資訊資產清冊的初版。營業部所處理的資訊包括：登錄於銷售管理伺服器的顧客聯絡方式、保管於3樓文件庫的合約書正本、在展覽會或拜訪時收到的名片、放在共用資料夾中的報價單範本等。B先生針對每項資產填寫了使用部門、管理負責人、保管地點、媒介、件數等欄位。關於名片，他聽說「是各部員自行收下、各自保管」，因此便如實記載。在將製作好的清冊提交上司之前，B先生正在檢視記載方式是否有問題。下列清冊記載中，最需要重新檢視的是哪一項？

No  資産名          利用部門  管理責任者    保管場所          媒体  件数1   顧客連絡先一覧  営業部    営業部長      販売管理サーバ    電子  8,4002   契約書原本      営業部    営業事務課長  3階書庫(施錠)     紙    1,2003   受領した名刺    営業部    営業部全員    各自の名刺入れ    紙    不明4   見積書ひな形    営業部    営業企画課長  部門共有フォルダ  電子  40

1. No.4——不會攜出公司外的資產，不需要記載於清冊
2. No.1——件數多的資產，必須依件數分成多行分別記載
3. No.3——管理負責人未指定到個人，保管地點與件數也未掌握
4. No.2——紙本文件不屬於資訊資產清冊的對象，此行必須從清冊中刪除

在A公司，營業部於接單時輸入的顧客資訊，物流部用來確認送貨地址，會計部用來開立請款單。顧客資訊儲存於資訊系統部門所營運的銷售管理系統中。在建立資訊資產清冊時，各部門對於這項顧客資訊的管理負責人應由誰擔任意見不一。物流部與會計部主張「我們只是在使用而已」，資訊系統部門則表示「我們只是保管伺服器，內容我們並不清楚」。決定管理負責人的方式，下列何者最適當？

1. 以營運存放該資訊之系統的資訊系統部門部長為管理負責人，營業部、物流部、會計部則作為使用部門並記於清冊
2. 以業務上產生該資訊、並對內容與使用範圍負責的營業部負責人為管理負責人，物流部、會計部則作為使用部門並記於清冊
3. 將使用該資訊的3個部門部長共同列為管理負責人，以合議方式判斷
4. 不決定管理負責人，僅將使用中的部門記載於清冊

A公司規定每年3月盤點時更新資訊資產清冊。本年度營業部方面，4月的人事異動使顧客管理系統的負責人交接。6月導入了新的營業支援雲端服務，開始保存商談紀錄。9月將1,000件紙本合約書從公司內部文件庫移往外部倉庫。11月一名約聘員工離職，其負責的報價單檔案由其他部員接手。B先生認為「年度盤點是在3月，所以在那之前清冊維持現狀即可」。對於這個想法，下列指摘何者最為適當？

1. 儲存於雲端服務中的資訊由業者方負責管理，因此不需要記載於自家公司的清冊
2. 清冊的更新只需在系統更換時進行，人事異動或保管地點的變更不列入更新對象
3. 應於資產發生變化時隨時更新，並將年度盤點定位為補齊整體遺漏的機會
4. 清冊是製作當下的紀錄，一經確定後便不再變更，等到下個年度重新製作新清冊

A公司營業部的B先生透過部內問卷盤點資訊資產，收到的回覆僅有顧客管理系統的資料、共用資料夾的提案書、文件庫的合約書這3項。然而實際走訪部內後發現：有部員將顧客名單的Excel檔案放在公司配發筆記型電腦的桌面上；有部員將提案書儲存於個人契約的免費雲端儲存空間，並在家中編輯；有部員將展覽會收到的名片成疊放在抽屜裡；還有部員保管著從離職前輩那裡接手的USB隨身碟。這些都未包含在問卷回覆之中。B先生的因應方式，下列何者最為適當？

1. 名片與USB隨身碟數量不多，不必逐一計數，統一以『其他』登記為1件
2. 將實地確認中發現的資訊也一併列入清冊，並改為不僅依賴自我申報的盤點方式
3. 以新訂定禁止使用免費雲端儲存空間的規範作為完成盤點作業的依據
4. 只將問卷中所寫的資產列入清冊，其餘則視為個人管理的私人物品

A公司營業部的B先生製作了部門的資訊資產清冊，並著手檢視是否有管理不周的資產。上司告訴他「沒有時間一次確認所有項目，請先看比較危險的部分」。清冊中針對每項資產記載了媒介、保管地點、件數、可否攜出等資訊。B先生認為可以從記載內容本身讀出管理狀況，因此逐行進行比較。以下為清冊的節錄。最應優先確認實際狀況的資產是下列何者？

No  資産名          媒体  保管場所                    件数   持出し1   顧客連絡先一覧  電子  社内ファイルサーバ          8,400  不可2   契約書原本      紙    3階書庫(施錠)               1,200  不可3   商談メモ        電子  各自の貸与PCのデスクトップ  不明   可4   請求書控え      紙    営業部キャビネット(施錠)    3,000  不可

1. No.1（顧客聯絡方式一覽表）
2. No.3（商談備忘錄）
3. No.4（請款單存根）
4. No.2（合約書正本）

A公司營業部的C主任下個月底即將離職。C主任負責的20家客戶的商談紀錄，主要保存在公司配發筆記型電腦的本機資料夾與業務用電子郵件的收件匣中，部門共用資料夾中僅有一部分。此外，他還在自己的抽屜中保管著客戶委託的圖面所在的USB隨身碟。上司告訴身為資訊安全負責人的B先生「希望在離職前完成交接」，於是B先生開始整理交接程序。B先生最應優先進行的是下列何者？

1. 在離職當天將C主任使用的筆記型電腦一併重新初始化，配發的USB隨身碟不確認內容即予以廢棄
2. 先盤點C主任業務上持有的資訊並製成一覽表，再與管理負責人確認哪些應作為資訊資產進行交接
3. 由上司閱覽C主任業務用電子郵件收件匣中的所有郵件，並依序將認為必要的郵件轉寄至部門共用資料夾
4. 立即停用C主任的所有公司帳號，並在離職日之前完全禁止其使用公司內部系統

A公司營業部中，有一名部員為提升業務效率，以免費方案自行申請了一項線上問卷服務，用來蒐集展覽會來場者的姓名、公司名稱、電子郵件地址，供日後的營業活動使用。此事並未向資訊系統部門提出使用申請，部門內也僅有少數負責人知情。B先生在盤點資訊資產的過程中發現此事，蒐集到的件數約有600件。該服務的管理畫面處於2名部員可用個人帳號登入的狀態。B先生的因應方式，下列何者最為適當？

1. 由於免費方案並未產生費用，因此不列入清冊，並讓其繼續使用
2. 將擁有帳號的2名部員姓名記載於管理負責人欄，之後的管理全權交由這2人負責
3. 立即刪除所有已蒐集的個人資料並解約該服務，公司內部的報告與清冊登記皆予省略
4. 將蒐集的資訊與使用狀況記載於清冊，並辦理公司內部的使用申請手續，同時確認服務提供者的安全管理措施

A公司自本年度起決定在全部門建立資訊資產清冊，總務部為此舉辦了說明會。營業部的B先生在說明會後，收到多名部員提出的疑問：「到底該將哪些內容登記為資訊資產？」營業部擁有的包括：顧客資料庫、紙本合約書、公司配發的筆記型電腦與智慧型手機、報價製作軟體、外部的營業支援雲端服務等，此外還有只有資深員工才懂的議價談判訣竅（know-how）。有部員主張「登記在公司財產清冊上的設備應該不算資訊資產」，另一名部員則表示「雲端上的資料是屬於業者的」。關於資訊資產範圍的說明，下列何者最為適當？

1. 只將可估算金錢價值的東西列為資訊資產，像人所擁有的訣竅這類無法估價的則排除在外
2. 無論是電子資料、紙本文件、設備、軟體、外部服務，還是人所擁有的知識，只要具有業務上的價值，都應視為資訊資產
3. 只有自家公司擁有並存放於公司內部的東西才是資訊資產，儲存於外部雲端服務上的資訊或個人擁有的知識則不包含在內
4. 只有電子資料才是資訊資產，紙本文件、設備、外部服務不包含在內

A公司在全公司統一了決定資訊資產重要度的規則。機密性、完整性、可用性分別以高（3）、中（2）、低（1）三個等級評估，並規定以3項評估值中的最大值作為該資產的重要度。營業部的B先生依此規則評估部門的主要資產，得到下列結果。B先生打算挑出重要度為「高」的資產，優先研擬對策。依照此規則，重要度為「高」的資產組合是下列何者？

No  資産名          機密性  完全性  可用性1   顧客連絡先一覧  高      中      中2   見積書ひな形    低      中      低3   受注データ      中      高      高4   展示会案内文    低      低      低

1. No.2與No.3
2. No.3與No.4
3. No.1與No.2
4. No.1與No.3

A公司營業部的B先生為向部員說明評估的思考方式，以記載各客戶議價折扣率的價目表為例。若這份價目表流入競爭對手手中，在價格談判上將處於不利。若數字遭到錯誤竄改，將導致對客戶提出錯誤金額的報價，事後必須撤回。另一方面，即使系統故障導致約半天無法瀏覽，由於上個月印出的紙本副本可作替代，業務仍可持續進行。針對這份價目表的評估，下列何者最為適當？

1. 機密性 高・完整性 低・可用性 高
2. 機密性 低・完整性 低・可用性 低
3. 機密性 低・完整性 高・可用性 高
4. 機密性 高・完整性 高・可用性 低

A公司營業部將資訊資產的評估交由各負責人自行判斷，結果幾乎所有資產都被評為「機密性 高」。公司內部的處理基準規定，機密性為高的資產須存放於上鎖的文件庫、攜出時須經上級主管核准、對外共用時須加密並製作交接紀錄。結果，就連攜出展覽會邀請函或已公開的產品型錄時也需要核准，核准件數從每月十幾件暴增到將近兩百件。最後上級主管在未確認內容的情況下就逕自蓋章核准，導致真正需要留意的顧客名冊攜出也被輕易放行。B先生應採取的因應方式，下列何者最為適當？

1. 為減輕核准的負擔，將攜出時上級主管的核准制度全面廢止，不論資產重要度為何
2. 將營業部持有的全部資產評估一律降為「中」，同時包括機密性高的資產在內，大幅簡化其處理基準
3. 訂定可依影響程度大小加以判斷的評估基準並重新評估，將公開資訊等影響較小的資產評估值依實際情況下調
4. 資產的評估值維持不變，將攜出時的核准者由上級主管全部改為實際攜出至公司外的負責人本人

A公司訂有依資訊資產重要度而異的處理基準。營業部的B先生負責的顧客聯絡方式一覽表被列為重要度「高」，營業部長要求他為了與往來客戶的聯合促銷活動，將該資料提供給外部代理商。與該代理商雖已簽訂業務委外合約，但B先生尚未確認合約中是否包含保密相關條款。營業部長告知「促銷活動即將展開，請盡快處理」。以下為處理基準的節錄。B先生最應優先進行的是下列何者？

重要度  保管                  持出し        社外共有                廃棄高      施錠書庫または暗号化  上長承認必須  契約と部門長承認が必要  溶解またはデータ消去の記録中      施錠書庫              上長承認必須  上長承認が必要          溶解またはデータ消去低      指定なし              承認不要      承認不要                一般廃棄可

1. 將顧客聯絡方式一覽表的重要度改為「中」，使其僅需上級主管核准即可提供
2. 將提供件數限縮至100件即可降低重要度，因此製作節錄版並在未經核准的情況下提供
3. 確認與代理商的合約中是否有保密條款，並辦理取得部門主管核准的程序
4. 以附密碼的壓縮檔寄送給代理商窗口，密碼則另外以其他郵件告知

A公司營業部以「這是部門內部共用的文件」為由，將營業日報檔案評估為重要度「低」，並存放在任何部員皆可編輯的共用資料夾中。日報中除記載拜訪對象窗口的姓名、職稱、面談內容外，有時還會記載與其他公司的交易條件。某天，一名派遣員工操作失誤，將日報資料夾複製到全公司共用資料夾，導致其他部門全體員工皆可瀏覽的狀態持續了2週。B先生因此事件而必須重新檢視評估。下列何者為最適當的檢視方式？

1. 依日報中所含資訊一旦外洩時的影響重新進行評估，若包含交易條件等影響較大的資訊，則提高機密性評估值並套用相應的處理規則
2. 由於日報每日更新、內容會替換，故應將其排除於評估對象之外
3. 此次原因在於派遣員工的操作失誤，因此日報的評估維持不變，僅刪除該派遣員工的帳號以防再次發生
4. 只要重新檢視全公司共用資料夾的存取權限，使其他部門員工看不到日報即可，日報的機密性評估值維持現狀

A公司訂定機密性評估基準如下：「外洩後可能產生法定報告義務或損害賠償責任的資訊訂為高」「已經公開的資訊訂為低」「兩者皆不符合的資訊訂為中」。營業部由各負責人分工進行評估，B先生負責彙整結果。在彙整過程中，B先生感覺各負責人套用基準的方式可能有所出入，尤其是否為在公司外部活動中蒐集的資訊，評估結果出現分歧。以下為營業部的評估結果。依基準檢視，下列哪一項評估需要重新檢討？

No  資産名                  含まれる情報                                機密性の評価1   顧客連絡先一覧          顧客担当者の氏名・電話番号・メールアドレス  高2   展示会来場者アンケート  来場者の氏名・勤務先・メールアドレス        低3   契約書原本              取引条件・押印済みの署名                    高4   製品カタログ(公開版)    公開済みの製品仕様と価格                    低

1. No.1（營業部的顧客聯絡方式一覽表）
2. No.4（於官網上公開中的產品型錄）
3. No.3（合約書正本）
4. No.2（展覽會來場者問卷）

A公司各部門過去以各自的用語評估資訊資產：營業部使用「重要・普通・輕微」，製造部使用「A・B・C」，會計部使用「1至5的5個等級」。當全公司進行跨部門的風險評鑑並試圖比較時，卻無法判斷應優先為哪項資產採取對策。此外，即使同樣標示為「重要」，各部門套用的思考方式也不相同。擔任資訊安全委員會事務局的B先生，下列何者是最適當的提案？

1. 以全公司共通的方式訂定評估等級，以及套用該等級的判斷基準（外洩、竄改、停止使用時的影響），由各部門依相同基準重新評估
2. 全公司的評估統一由資訊系統部門一手包辦，各部門不參與評估作業
3. 將所有部門的標示方式統一改為最細分的會計部5等級制，至於套用到哪個等級的判斷基準，仍如以往交由各部門自行裁量
4. 各部門的評估標示維持不變，由各部門各自挑選前3項作為全公司的對策對象

A公司營業部將接單資料輸入銷售管理系統，出貨指示與請款皆以此資料為依據進行。若系統停止運作，當天將無法出貨；若停止1天，約2,000萬日圓的營業額將延遲至下個月入帳，還會造成對往來客戶的交期延誤。另一方面，儲存過去商談備忘錄的共用資料夾即使停用1週，對日常業務也不會造成太大影響。就件數而言，商談備忘錄比接單資料更多。B先生要決定兩者的可用性評估。下列何者為最適當的思考方式？

1. 可用性屬於營運系統的資訊系統部門應決定的事項，作為使用部門的營業部應避免參與評估
2. 由於兩者都是公司內部日常業務所使用的資訊，可用性評估值應統一設為相同數值
3. 由於保存的商談備忘錄件數較多，應重新設定使其可用性評估值高於接單資料
4. 依無法使用時業務停滯的程度與可容忍的停止時間進行評估，將接單資料訂為高、商談備忘錄訂為低

A公司營業部將顧客聯絡方式一覽表存放於公司內部檔案伺服器，並設定為全體部員皆可存取。上個月發現一名離職員工的帳號未被刪除而持續留存。部員在外出時也會以公司配發的筆記型電腦透過VPN連線瀏覽同一份檔案。B先生針對此項資產展開風險評鑑，首先要進行風險識別。作為風險識別所進行的作業，下列何者最為適當？

1. 將顧客聯絡方式一覽表可能面臨的威脅（未經授權存取、內部不當行為、遺失等）與可能被利用的弱點（未刪除的閒置帳號、授權過多等）加以組合，盤點可能發生的事件
2. 針對盤點出的風險估算對策所需費用，依序執行預算範圍內可行的項目，並記錄執行狀況
3. 立即刪除顧客聯絡方式一覽表中殘留的離職員工帳號，並將全體部員的存取權限縮小至業務上必要的範圍，此項資產的一連串作業就此全部結束
4. 針對顧客聯絡方式一覽表分別估算發生可能性與影響程度並相乘，算出風險大小後與接受基準比較

A公司以規範訂定風險等級的計算方式與接受基準。風險等級以「發生可能性（高3・中2・低1）×影響程度（高3・中2・低1）」的乘積求得，乘積達6以上者視為無法接受的風險，須優先因應。營業部的B先生依此方法分析部門的風險，得到下列結果。上司告知「希望先鎖定1件推動對策」。依此基準，應優先因應的風險是下列何者？

No  リスク                          発生可能性  影響度  積1   顧客連絡先一覧の外部への漏えい  低(1)       高(3)   32   退職者アカウントによる不正閲覧  中(2)       高(3)   63   紙の契約書の紛失                中(2)       中(2)   44   展示会案内文の誤送信            高(3)       低(1)   3

1. No.2（離職員工帳號遭不當瀏覽）
2. No.3（紙本合約書遺失）
3. No.4（展覽會邀請函因寄送對象錯誤而誤送）
4. No.1（顧客聯絡方式一覽表對外大量外洩）

A公司營業部依風險評鑑結果召開會議以決定風險因應方針。會議由營業部長、B先生、資訊系統部門負責人共同出席。討論結果，針對4項風險分別採取不同思考方式的因應措施。B先生為向全公司資訊安全委員會報告，必須依風險因應的種類分類。以下為決定的內容。若將各項因應措施分類為風險迴避、風險降低、風險移轉、風險保有（接受），下列何者組合正確？

No  リスク                      決めた対応1   展示会での名刺収集時の紛失  名刺の収集をやめ、来場者情報は取引先経由でのみ受け取る2   ファイルサーバへの不正侵入  アクセス権の見直しと多要素認証の導入を行う3   サイバー攻撃による損害賠償  サイバー保険に加入する4   社内掲示板の記載誤り        影響が小さいため対策は行わず、記録を残して年次で再評価する

1. 1＝迴避　2＝降低　3＝移轉　4＝保有
2. 1＝移轉　2＝降低　3＝迴避　4＝保有
3. 1＝降低　2＝迴避　3＝保有　4＝移轉
4. 1＝迴避　2＝移轉　3＝降低　4＝保有

A公司營業部針對顧客聯絡方式一覽表的外洩風險，實施了重新檢視存取權限等降低措施，但風險等級僅些微超出接受基準，仍有殘餘。作為追加對策，可考慮導入專用的攜出管理系統，但每年費用需800萬日圓。另一方面，該風險預估可能造成的損失金額約為每年100萬日圓。B先生正在整理殘餘風險的處理方式。下列何者最為適當？

1. 既已超出接受基準，不論費用高低，都必須實施追加對策
2. 變更風險等級的計算方式，重新評估使其落在接受基準範圍之內
3. 整理成本效益與殘餘風險的內容，向負責任的管理階層說明，取得作為殘餘風險的核准後予以記錄
4. 由於費用不划算，由身為資訊安全負責人的B先生自行判斷接受此風險，且不特別留下紀錄

A公司每年4月實施風險評鑑。本年度6月新導入了營業支援雲端服務，開始儲存顧客資訊；9月個人資料處理相關的法規修正正式施行；11月其他部門發生惡意軟體感染的資安事件，已對全公司發出警示；1月營業部與營業企劃部合併，負責人與職權範圍隨之改變。B先生認為「下次評鑑是在4月，在那之前維持現有結果即可」。對於這個想法，下列指摘何者最為適當？

1. 新服務的導入、法規修正、資安事件的發生、組織體制的變更，皆屬於改變評鑑前提的事件，須隨時檢視
2. 因應法規修正屬於法務部的職責，不構成營業部風險評鑑需要檢視的理由
3. 其他部門發生的資安事件與本部門無關，不構成檢視的理由
4. 既已決定每年評鑑1次，年度中發生的變化只需在下次評鑑時一併反映即可，不需要隨時檢視

A公司營業部的B先生首次要為部門進行風險評鑑。手邊有上週剛完成的資訊資產清冊，其中記載了資產名稱、管理負責人、機密性／完整性／可用性的評估值以及重要度。上司告知「可用的時間有限，希望從優先度高的項目開始採取對策」。公司內部訂有規範風險等級計算方式與接受基準的規定。B先生接下來應進行的事項，下列何者最為適當？

1. 由重要度高的資產開始，以威脅與弱點的組合盤點風險，並以發生可能性與影響程度求出風險等級
2. 蒐集其他公司發生的事故案例，將相同對策一律套用於所有資產
3. 不使用接受基準，依想到的順序逐一實施對策
4. 針對清冊上列出的所有資產，向多家業者索取對策所需產品的報價，比較費用與效果

A公司營業部依風險評鑑結果製作了風險因應計畫。計畫的格式須記載對象風險、因應措施、負責人、期限，以及執行後殘留之殘餘風險的處理方式。製作工作由各風險的負責人分工進行，B先生負責彙整。在彙整階段，B先生發現部分行位保持空白或表述不明確就已提交。以下為製作完成的計畫節錄。此計畫中，最需要重新檢視的是哪一項？

No  リスク                      対応策                        責任者            期限            残留リスクの扱い1   退職者IDによる不正閲覧      退職手続にID即時停止を組込み  営業事務課長      10月末          受容し記録する2   紙の契約書の紛失            施錠書庫での保管と持出し記録  営業部長          11月末          受容し記録する3   ノートPC紛失時の情報漏えい  全台のディスク暗号化          情報システム部長  12月末          受容し記録する4   顧客情報の誤送信            注意喚起の周知                未定              できるだけ早く  未検討

1. No.4——負責人與期限皆未確定，殘餘風險的處理方式也尚未決定
2. No.2——負責人設為部長，職稱過高而缺乏實效性
3. No.3——負責人並非營業部，而是被指派給完全不同部門的負責人
4. No.1——因應措施並非技術性手段，僅依賴作業流程

A公司營業部正檢討因儲存顧客資訊的筆記型電腦遺失而導致資訊外洩的風險因應方案。若發生外洩，預估每件損失500萬日圓，依過去實績，遺失頻率約為5年1次，即每年預估發生0.2件。方案甲為導入硬碟加密軟體，每年費用30萬日圓，即使遺失也幾乎能防止外洩。方案乙為將攜出用的筆記型電腦全數更換為具防丟失功能的機型，每年費用400萬日圓。方案丙為不採取對策，遺失時向顧客支付慰問金，預估每年支出100萬日圓。B先生在經營會議上應說明的內容，下列何者最為適當？

1. 由於風險大小本來就無法以金額表示，因此省略對策的成本效益比較
2. 由於各對策所需費用都超過預估的年度損失金額，因此不實施任何對策，直接選擇方案丙
3. 每年預估損失金額為100萬日圓，以每年30萬日圓即可幾乎防止外洩的方案甲，就成本效益而言最為優異
4. 應選擇效果最強的方案乙，每年400萬日圓的對策費用之高，可視為不需納入考量