情報セキュリティマネジメント 2017年 春期 午前（科目A） 問07

リスクレベル【情報セキュリティマネジメント解説】

正解の理由

• JIS Q 27000:2014：情報セキュリティマネジメントシステム（ISMS：Information Security Management System）の用語を定めた規格。
• リスクアセスメント：リスク（危険）を評価する一連の作業。例えば、影響の大きさ（結果、インパクト）と起こりやすさ（確率）を調べます。
• 管理策（コントロール）：リスクを低減するための対策。

解法ステップ

1. 問題のキーワードを確認：「リスクレベル」＝何を表すかを問うている。
2. 選択肢の語句に注目：
   • 「結果」と「起こりやすさ」を組合せる表現があれば、リスクの大きさ（定量的/定性的評価）を表す可能性が高い。
   • 「弱点」「優先順位」「目安」といった語は、それぞれ「脆弱性」「優先度」「評価条件」など別概念を示す。
3. 定義と照合：規格の用語定義と照らして、最も一致するものを選ぶ。
4. 結論：イ が最も適合するため正解。

選択肢別の誤答解説

• ア: 「脅威によって付け込まれる可能性のある、資産又は管理策の弱点」
  • これは「脆弱性（vulnerability）」の説明です。脆弱性は弱点であって、リスクの大きさそのものではありません。
• イ: 「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」
  • 正解。リスクレベルはインパクト（結果）と発生確率の組合せで表されます。
• ウ: 「対応すべきリスクに付与する優先順位」
  • これは「優先度（priority）」あるいは「リスクのランク付け」を表す語に相当します。リスクレベルを基に優先順位を付けますが、同じではありません。
• エ: 「リスクの重大性を評価するために目安とする条件」
  • これは「評価基準」や「基準値（criteria）」の説明です。リスクレベルはその評価結果であり、目安そのものではありません。

よくある誤解

1. 「リスクレベル＝脆弱性」と混同する
   • 脆弱性はリスクが発生する原因になり得る弱点です。リスクレベルはその結果（被害）と確率を合わせて算出した大きさです。
2. 「リスクレベルは数値だけ」だと思い込む
   • 数値（定量評価）で表す場合もありますが、色分けやランク（高・中・低）といった定性的表現も広く使われます。重要なのは「影響」と「確率」の組合せで評価する点です。

補足コラム

• 実務での使い方（職場のイメージ）
  • まずリスクアセスメントで各リスクの「影響」と「発生確率」を評価します。次にその組合せからリスクレベル（例：高・中・低）を決めます。最後にリスクレベルに応じて「回避」「受容」「低減」「移転」などのリスク処理（リスク対応）を決定します。たとえば、顧客データ消失は「影響大・確率中」→リスクレベル高→バックアップ強化やアクセス制御の強化を実施する、という流れです。
• リスク表示の代表例：リスク行列（リスクマトリクス）
  • 横軸に「発生確率」、縦軸に「影響（結果）」を置き、各セルにリスクレベル（高/中/低）を割り当てます。視覚的で職場でも説明しやすい手法です。
• 数式表現（イメージ）
  • 厳密な計算式は組織によって異なりますが、簡易には $\text{リスク}=\text{影響}\times \text{発生確率}$ の考え方が使われます。

FAQ