情報処理安全確保支援士試験 令和5年秋期午前Ⅱ JIS Q 27000:2019
出典：令和5年秋期 午前Ⅱ 問11
分野：セキュリティ ／ 情報セキュリティ管理
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち，適切なものはどれか。
- ア：脅威とは，一つ以上の要因によって付け込まれる可能性がある，資産又は管理策の弱点のことである。
- イ：脆弱性とは，システム又は組織に損害を与える可能性がある，望ましくないインシデントの潜在的な原因のことである。
- ウ：リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
- エ：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。
TSUNAGARU-ADVICE
まず押さえたいこと
この問題では、情報セキュリティマネジメントの用語を雰囲気で覚えるのではなく、脅威・脆弱性・リスク評価・リスク特定の違いを正確に切り分けることが重要です。
迷ったときの判断軸
脅威は損害を与える可能性がある原因、脆弱性は付け込まれる弱点です。また、リスク分析の結果をリスク基準と比較するのは、リスク対応ではなくリスク評価です。したがって、リスク特定は、リスクを発見、認識及び記述するプロセスと整理すると判断しやすくなります。
科目Bにつなげるために
科目Bでは、リスクアセスメントの流れの中で、何を見つけ、何を分析し、何を評価し、どう対応するのかを順番に理解しているかが問われます。用語の定義だけでなく、リスク管理プロセス上の位置付けまで結び付けて整理しておきましょう。
JIS Q 27000:2019では、リスク特定は、リスクを発見、認識及び記述するプロセスとされています。
リスク特定には、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれます。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：脅威とは，一つ以上の要因によって付け込まれる可能性がある，資産又は管理策の弱点のことである。
⇒脆弱性の説明です。脅威は、システムや組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因です。
イ：脆弱性とは，システム又は組織に損害を与える可能性がある，望ましくないインシデントの潜在的な原因のことである。
⇒脅威の説明です。脆弱性は、脅威によって付け込まれる可能性がある、資産又は管理策の弱点です。
ウ：リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
⇒リスク評価の説明です。リスク対応は、リスクを修正するプロセスです。