情報セキュリティリスクに関する定義｜情報処理安全確保支援士 平成28年 春期午前Ⅱ試験 問11
出典：平成28年春期 午前Ⅱ 問11
分野：セキュリティ ／ 情報セキュリティ管理
JIS Q 27000における情報セキュリティリスクに関する定義のうち，適切なものはどれか。
- ア：脅威とは，一つ以上の要因によって悪用される可能性がある，資産又は管理策の弱点のことである。
- イ：脆弱性とは，望ましくないインシデントを引き起こし，システム又は組織に損害を与える可能性がある潜在的な原因のことである。
- ウ：リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
- エ：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。
TSUNAGARU-ADVICE
まず押さえたいこと
JIS Q 27000におけるリスク特定は、リスクを発見・認識・記述するプロセスです。その際には、リスク源・事象・原因・起こり得る結果などを洗い出します。ポイントは、どのようなリスクが存在するのかを明らかにする段階だと捉えることです。
迷ったときの判断軸
脅威は損害を与える可能性がある潜在的な原因、脆弱性は脅威によって悪用される可能性がある資産や管理策の弱点です。また、リスク分析結果をリスク基準と比較して受容可能か判断するのはリスク評価です。脅威 = 原因、脆弱性 = 弱点、リスク特定 = 洗い出しと整理しましょう。
科目Bにつなげるために
科目Bでは、脅威・脆弱性・リスク・管理策・リスク対応などを事例文の中から整理する問題が出やすいです。用語を個別に覚えるのではなく、何が原因で、どの弱点を突かれ、どのような結果につながるのかを一連の流れとして読み取る視点を持ちましょう。
JIS Q 27000におけるリスク特定とは、リスクを発見し、認識し、その内容を記述するプロセスです。
リスク特定では、「どのような原因から、どのような事象が起こり、その結果としてどのような影響が生じる可能性があるか」を整理します。そのため、リスク源・事象・原因・起こり得る結果などの特定が含まれます。
したがって、エが適切です。
なお、現在のJIS Q 27000は2019年版に改定されています。本問は問題冊子で指定された2014年版の定義を前提としています。
❌他選択肢が誤りの理由ア：脅威とは，一つ以上の要因によって悪用される可能性がある，資産又は管理策の弱点のことである。
⇒これは脆弱性の説明です。脆弱性は、脅威によって悪用される可能性のある資産や管理策の弱点を指します。
イ：脆弱性とは，望ましくないインシデントを引き起こし，システム又は組織に損害を与える可能性がある潜在的な原因のことである。
⇒これは脅威の説明です。脅威は、望ましくないインシデントを引き起こし、組織やシステムへ損害を与える可能性のある潜在的な原因を指します。
ウ：リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
⇒これはリスク評価の説明です。リスク評価では、リスク分析の結果をリスク基準と比較し、そのリスクを受容できるかどうかなどを判断します。リスク対応は、リスクを修正するための選択肢を選び、実施するプロセスです。