問題 No.5678
情報セキュリティのリスクアセスメント手法の一つであり、組織が保有する情報資産の個別具体的な価値評価を行わず、あらかじめ用意された標準的なセキュリティ対策（ベースライン）をすべての対象に一律に適用するアプローチはどれか。
【正解の解説】
ベースラインアプローチ
これは洋服の「S・M・Lサイズ展開の既製服」のようなものです。一人ひとりの体型を細かく測ってオーダーメイドするのではなく、「とりあえず全員これ着ておけば一定の安全は確保できるよね」という基準を最初に決めて、それを一律に当てはめる手軽で効率的なやり方です。
スポンサーリンク
【その他の選択肢の解説】
情報資産の機密性・完全性・可用性を個別に詳細分析し、リスク値の算定に基づいて優先順位を決定するアプローチ
ベースラインアプローチが「全員一律の既製服」なのに対し、こちらは一人ひとりの体型をミリ単位で採寸して「オーダーメイドのスーツ」を作るようなものです。時間と手間はかかりますが、個別の状況にぴったりの対策ができる詳細アプローチの手法を指しています。
過去に発生したセキュリティインシデントの損害額を定量的に算出し、発生確率と掛け合わせてリスクを評価するアプローチ
「もし事故が起きたら何億円の損害で、確率は何パーセントか」というように、過去のデータや統計を使って電卓を叩きまくり、リスクを金額や数値でガチガチに計算するアプローチです。標準対策を横並びで適用するベースラインアプローチとは目的も手順も全く異なります。
組織を取り巻く外部環境の変化や脅威の動向を継続的に監視し、動的にセキュリティポリシーを最適化するアプローチ
サイバー攻撃の手口は日々進化するため、自動レーダーのように外部の敵の動きを常に見張りながらルールをリアルタイムで書き換えていくような高度な運用手法を指しています。最初にあらかじめ決めた基準をそのまま使うベースラインアプローチとはアプローチの性質が大きく異なります。