情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問05

リスク特定の対象項目【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題が「リスク特定で何を特定するか」を問うていると確認する。
2. リスク特定の目的を整理する：何が起きるか（事象）、なぜ起きるか（原因）、どこから起きるか（リスク源）、起きたときの影響（結果）を明確にする。
3. 各選択肢を上の目的に当てはめる：
   • b は「起きる事象」 → 該当
   • c は「原因／結果」 → 該当
   • d は「リスク源」 → 該当
   • a は「費用」 → 対応段階の評価であり除外
4. 該当するもののみを含む組合せを選ぶ（エ）。

選択肢別の誤答解説

• ア: a, b, d
  a（費用）が含まれているため誤り。費用は対策を検討する段階で評価するため、特定段階の対象ではありません。
• イ: a, d
  b（事象）が抜けているため誤り。事象そのものを特定しないとリスクは把握できません。
• ウ: b, c
  リスク源（d）が抜けているため誤り。原因や事象はわかっても、その原因がどこから来るか（内部か外部か、どの業務・設備か）を特定しないと対策が甘くなります。
• エ: b, c, d
  事象（b）、原因と結果（c）、リスク源（d）を網羅しており、リスク特定の目的に合致します。よって正解。

よくある誤解

• 「費用（a）も特定段階で考えるべき」と思う誤解：費用は重要ですが、まずは何が起き得るかを洗い出すことが優先です。対策コストは後の「評価・対応計画」段階で扱います。
• 「原因と事象は同じ」と混同する誤解：事象は実際に起きる出来事（例：個人情報の漏えい）。原因はその事象を引き起こす要因（例：設定ミス、委託先の管理不足）。両方を分けて考える必要があります。

補足コラム

• 用語の整理
  • リスク（risk）：不確実性が原因で発生し得る損失や被害の可能性。
  • 事象（event/incidence）：実際に起こる出来事。例：サーバ停止、情報漏えい。
  • 原因（cause）：事象を引き起こす直接的な理由。例：パッチ未適用、人的ミス。
  • リスク源（risk source）：リスクを発生させる源。内部要因（老朽化した設備）や外部要因（自然災害、取引先）など。
• 実務での運用イメージ
  例えば「社内の顧客DBが外部に漏れるリスク」を特定する場合は、まず「どんな事象が起き得るか（データ漏えい）」を挙げ、次に「なぜ起きるか（原因：アクセス権設定ミス、委託先の不適切管理）」、最後に「リスク源（内部の権限設定手順、委託先の運用体制）」を明確にします。費用は対策案を作る際に見積もります。

FAQ