JIS Q 27000｜情報処理安全確保支援士試験 令和7年春期午前Ⅱ 問10
出典：令和7年春期 午前Ⅱ 問10
分野：セキュリティ ／ 情報セキュリティ
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち，適切なものはどれか。
- ア：脅威とは，一つ以上の要因によって付け込まれる可能性がある，資産又は管理策の弱点のことである。
- イ：脆弱性とは，システム又は組織に損害を与える可能性がある，望ましくないインシデントの潜在的な原因のことである。
- ウ：リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
- エ：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。
TSUNAGARU-ADVICE
まず押さえたいこと
この問題では、情報セキュリティの用語を雰囲気で覚えるのではなく、脅威・脆弱性・リスク評価・リスク特定の違いを正確に切り分けることが重要です。
迷ったときの判断軸
脅威は損害を与える可能性がある原因、脆弱性は付け込まれる弱点です。また、リスク分析の結果をリスク基準と比較するのはリスク対応ではなくリスク評価です。したがって、リスク特定は、リスクを発見し、認識し、記述するプロセスと整理すると判断しやすくなります。
科目Bにつなげるために
科目Bでは、リスクアセスメントの流れの中で、何を見つけ、何を分析し、何を評価し、どう対応するのかを順番に理解しているかが問われます。用語の定義だけでなく、リスク管理プロセス上の位置付けまで結び付けて整理しておきましょう。
JIS Q 27000:2019におけるリスク特定は、リスクを発見,、認識し、記述するプロセスです。リスク源・事象・それらの原因・起こり得る結果の特定などが含まれます。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：脅威とは，一つ以上の要因によって付け込まれる可能性がある，資産又は管理策の弱点のことである。
⇒脅威ではなく、脆弱性の説明です。
イ：脆弱性とは，システム又は組織に損害を与える可能性がある，望ましくないインシデントの潜在的な原因のことである。
⇒脆弱性ではなく、脅威の説明です。
ウ：リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
⇒リスク対応ではなく、リスク評価の説明です。