基本情報技術者 2019年春期午前（科目A）問41

問題文

JIS Q27000:2014（情報セキュリティマネジメントシステムー用語）における“リスクレベル”の定義はどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：脅威によって付け込まれる可能性のある、資産又は管理策の弱点

イ：結果とその起こりやすさの組合せとして表現される、リスクの大きさ（正解）

ウ：対応すべきリスクに付与する優先順位

エ：リスクの重大性を評価するために目安とする条件

🔒 解説は解答すると表示されます

リスクレベルの定義【午前解説】

正解の理由

正解はイです。JIS Q27000:2014 の用語定義に従うと、リスクレベルは個々のリスクの大きさを示す指標であり、それは「望ましくない結果（影響）の大きさ」と「その結果が発生する確率（起こりやすさ）」という二つの要素の組合せで表されます。したがって「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」が定義と一致します。

解法ステップ

問題文のキーワードを確認：「リスクレベル」「定義」「JIS Q27000:2014」。
選択肢の文言を一語ずつ照らし合わせる：「組合せ」「起こりやすさ」「弱点」「優先順位」「目安」など。
JIS/ISOの用語イメージで照合：リスクレベル＝影響（結果）＋発生確率（起こりやすさ）という構成を探す。
一致する選択肢を選び、他選択肢を用語の違いで排除する（脆弱性・優先順位・評価基準は別概念）。

選択肢別の誤答解説

ア: 脅威によって付け込まれる可能性のある、資産又は管理策の弱点
→ これは「脆弱性（vulnerability）」の定義に該当します。弱点そのものを指し、リスクレベルとは異なります。
イ: イ結果とその起こりやすさの組合せとして表現される、リスクの大きさ
→ 正解。JIS Q27000 の定義と一致します。リスクの“度合い”を示す表現がここで示されています。
ウ: 対応すべきリスクに付与する優先順位
→ これはリスクの「優先順位付け（prioritization）」に関する説明であり、リスクレベルの定義ではありません。優先順位はリスクレベル等を基に決定されます。
エ: リスクの重大性を評価するために目安とする条件
→ これは「評価基準」や「閾値（criteria）」に近い概念です。リスクレベルそのものではなく、リスクレベルを判定するための基準を表しています。

よくある誤解

「弱点（脆弱性）と同じ」と誤解する点：脆弱性は資産や管理策の欠陥や弱点を指し、リスクレベルそのものではありません。
「優先順位」と混同する点：優先順位はリスク対応の順序を示すもので、リスクレベルとは別の概念です。
「目安（基準）」と取り違える点：リスクレベルはリスクの大きさを表す値で、評価の目安（閾値）はリスクレベルを評価・区分するための補助的な条件です。

補足コラム

ISO 系規格（例：ISO/IEC 27000 系）では用語の整合性が重視され、リスク関連用語は明確に区別されています。リスク（risk）は不確実性がもたらす影響を示す概念であり、リスクレベル（risk level）はその影響度合いを定量的または定性的に示す値です。実務ではリスク行列（縦に影響度、横に発生確率）を用いてリスクレベルを可視化し、閾値を用いて「受容可能」「対処要」「緊急対処」と分類します。

例: リスク行列の簡易モデル（イメージ）

影響度（高/中/低） × 発生確率（高/中/低） → リスクレベル（高/中/低）

実務ヒント: 問題演習では「影響」「確率」「組合せ」といった語句を見つけたら優先的にチェックしてください。

FAQ

Q1: リスクとリスクレベルの違いは何ですか？
A1: リスクは「不確実性が目標に与える影響」の総称で、リスクレベルはそのリスクの大きさ（影響度×発生確率などで表した度合い）を示す指標です。

Q2: 「重大性（severity）」とリスクレベルは同じですか？
A2: 重大性は主に影響の大きさ側面を指し、一方リスクレベルは影響と発生確率の組合せで決まるため異なります。重大性はリスクレベルを構成する一要素です。

Q3: 実務でリスクレベルをどう決めればよいですか？
A3: 定性的ならリスク行列、定量的なら期待損失（発生確率×影響額）などを用い、組織の基準（閾値）に基づいて区分します。

関連キーワード: JIS Q27000、リスクレベル、情報セキュリティ、ISO 27000、脆弱性、脅威、リスク評価、影響度、発生確率、リスク行列

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

基本情報技術者を
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！