情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問07

リスク基準【情報セキュリティマネジメント解説】

正解の理由

• リスク基準（risk criteria）：どの程度のリスクまで許容するか、またはどのような条件で対策を必要とするかを定めた基準。
• リスク分析（risk analysis）：リスクの発生確率や影響の大きさを具体的に評価する作業。

解法ステップ

1. 問題の目的を把握する：リスクを「受容可能か否か決める」とある → 比較対象は「決める基準」であることを想起。
2. 各選択肢の意味を確認する：
   • インシデントシナリオ（何が起きるかの想定）
   • インシデント対応フロー（起きた後の手順）
   • リスク基準（受容の判断基準）
   • リスク対応計画（どのように対策するかの計画）
3. 「判断するために比較するもの」として最も適切なのは「リスク基準」。よって ウ を選ぶ。

選択肢別の誤答解説

• ア: 組織の情報セキュリティインシデントシナリオ
  • インシデントシナリオ（incident scenario：どのようなセキュリティ事象が起こり得るかの想定） はリスク分析の入力（脅威や影響想定）にはなるが、評価結果と比較して「受容するか」を判断する基準ではありません。
• イ: 組織の情報セキュリティのインシデント対応フロー
  • インシデント対応フロー（incident response flow：インシデント発生後の対応手順） は対応手順であり、リスク受容の基準とは役割が異なります。起きてからの対応に関するものです。
• ウ: 組織の情報セキュリティのリスク基準
  • リスク分析の結果（発生確率×影響など）を、あらかじめ決めた許容レベルや判定基準と比較して「受容」か「対応」かを決めるためのものです。これが正解です。
• エ: 組織の情報セキュリティリスク対応計画
  • リスク対応計画（risk treatment plan：どの対策をいつ実施するかの計画）は、評価後にどのようにリスクを低減するかを示す文書であり、受容の判断と直接比較するものではありません。判断後に作成・適用されます。

よくある誤解

1. 「インシデント対応フローやシナリオがあればそれで受容基準になる」と考える誤り
   • フローやシナリオは手順や想定の材料であって、受容の判定基準そのものではありません。基準は「どの程度まで許容するか」という判断ルールです。
2. 「リスク分析＝リスク評価（最終判断）」と混同する誤り
   • リスク分析は発生確率や影響を定量・定性で出す段階。リスク評価（evaluation）はその結果をリスク基準と比較して受容可否を決める段階です。混同すると答えを誤りやすいです。

補足コラム

• 「業務継続に直接影響するシステムの情報漏えいは常に対策対象」
• 「影響額が年間○○円を超えるリスクは対策対象」
  職場では、経営層や業務部門と合意してリスク基準を文書化し、定期的に見直すことが大切です。JIS Q 27001 ではリスク基準の定義・適用を要求しており、監査でも確認されます。

FAQ