情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問08

リスク評価【情報セキュリティマネジメント解説】

正解の理由

• リスク分析（risk analysis）：リスクの特質、発生確率、影響などを調べるプロセス。
• リスク識別（risk identification）：リスクを発見・記述するプロセス。
• リスク対応／対処（risk treatment）：対策を実際に講じてリスクを減らすプロセス。
  上の違いと比べると、イが「評価」を表していることがわかります。

解法ステップ

1. 設問のキーワードを探す：「リスク基準と比較」「受容可能か否か」。
2. 「比較して受容性を判断する」→ これは評価の説明。選択肢の中で評価に対応するものを選ぶ。
3. 残りの選択肢が「識別」「分析」「対処」に当たることを確認して除外する。
4. よって イ を選ぶ。

選択肢別の誤答解説

• ア: 「対策を講じることによって、リスクを修正するプロセス」
  → これはリスク対応（risk treatment：実際に対策を実行する段階）です。評価ではなく「手を打つ」方です。
• イ: 「リスク分析の結果をリスク基準と比較して受容可能か否かを決定するプロセス」
  → JIS Q 27000 の「リスク評価」に該当します。
• ウ: 「リスクの特質を理解し、リスクレベルを決定するプロセス」
  → これはリスク分析（risk analysis：リスクの性質や大きさを明らかにする）に当たります。
• エ: 「リスクの発見、認識及び記述を行うプロセス」
  → これはリスク識別（risk identification）です。評価ではありません。

よくある誤解

1. 「リスク評価＝全体のリスク対応作業」と誤解する
   • 実務では「アセスメント（assessment）」を広く使うことがあり混乱します。設問では「評価（evaluation）」の意味です。
2. 「分析」と「評価」を同じと考える
   • 分析は「どれほどのリスクか」を調べる作業。評価は「そのリスクを受け入れてよいか」を判断する作業です。

補足コラム

• まずリスク識別で「個人情報が外部に出る可能性」を見つけます。
• 次にリスク分析で「発生確率：低〜高、影響：金銭・信用など」を数値やランクで評価します。
• 最後にリスク評価で、会社のリスク基準（法令順守は必須、金額は100万円以上は重大など）と比較して「許容する／対策が必要」を決めます。
  リスク基準（risk criteria）は経営や法令、顧客要求を反映して事前に定めておくことが重要です。

FAQ