JIS Q 27000:2014の情報セキュリティリスクに関する定義｜情報処理安全確保支援士 平成29年 秋期午前Ⅱ試験 問12
出典：平成29年秋期 午前Ⅱ 問12
分野：セキュリティ ／ 情報セキュリティ管理
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する定義のうち，適切なものはどれか。
- ア：脅威とは，一つ以上の要因によって悪用される可能性がある，資産又は管理策の弱点のことである。
- イ：脆弱性とは，システム又は組織に損害を与える可能性がある，望ましくないインシデントの潜在的な原因のことである。
- ウ：リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
- エ：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。
TSUNAGARU-ADVICE
まず押さえたいこと
JIS Q 27000におけるリスク特定は、リスクを発見し、認識し、記述するプロセスです。情報セキュリティでは、どの資産に、どのような脅威や脆弱性が関係し、どのような結果が起こり得るかを整理します。ポイントは、リスクを見つけて言語化する段階であることです。
迷ったときの判断軸
資産又は管理策の弱点は脆弱性、望ましくないインシデントの潜在的な原因は脅威です。また、リスク分析の結果をリスク基準と比較するプロセスはリスク評価であり、リスク対応ではありません。用語を判断するときは、発見するのか、分析するのか、評価するのか、対応するのかを切り分けましょう。
科目Bにつなげるために
科目Bでは、リスクアセスメント・資産・脅威・脆弱性・管理策・リスク対応方針などを組み合わせて問われることがあります。リスク管理では、いきなり対策を選ぶのではなく、まず何がリスクなのかを特定し、その大きさを分析・評価したうえで対応を決める流れを押さえましょう。
※マネジメント関連試験向け。
リスク特定とは、リスクを発見し、認識し、具体的に記述するプロセスです。リスク源、発生し得る事象、その原因、起こり得る結果などを明らかにします。
情報セキュリティリスクの管理では、まずどのようなリスクが存在するかを特定し、その後にリスク分析、リスク評価、リスク対応へと進みます。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：脅威とは，一つ以上の要因によって悪用される可能性がある，資産又は管理策の弱点のことである。
⇒脆弱性の説明です。脆弱性は、脅威によって悪用される可能性がある資産又は管理策の弱点を指します。
イ：脆弱性とは，システム又は組織に損害を与える可能性がある，望ましくないインシデントの潜在的な原因のことである。
⇒脅威の説明です。脅威は、システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因を指します。
ウ：リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
⇒リスク評価の説明です。リスク対応は、リスクを修正するために、回避、低減、移転、保有などの対策を選択して実施するプロセスです。