情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問07

リスク分析の定義【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 設問が「定義」を問うていることを確認する（辞書的な語句を探す）。
2. 各選択肢のキーワードを拾う：
   • 「特質を理解」「リスクレベルを決定」→ 分析（分析＝理解して評価する）
   • 「受容可能か比較する」→ 評価・判断（リスク評価／リスク評価基準との比較）
   • 「管理策を採用」→ 処理（リスク処理／対策の実施）
   • 「発見・認識・記述」→ 特定（リスクの特定）
3. JIS/ISOの定義と照合して、最も該当する選択肢を選ぶ（この場合はウ）。

選択肢別の誤答解説

• ア: 「適切な管理策を採用し、リスクを修正するプロセス」
  • これはリスク処理（risk treatment）。対策を選び実行する段階で、分析そのものではありません。職場で言えば「対策を決めて実行する」フェーズです。
• イ: 「リスクが受容可能か又は許容可能かを決定するために、リスク及びその大きさをリスク基準と比較するプロセス」
  • これはリスク評価（risk evaluation）。リスクの大きさを事前に定めた基準（リスク基準：どの程度のリスクを許容するかの尺度）と比べて判断する行為です。分析とは目的が異なります。
• ウ: 「リスクの特質を理解し、リスクレベルを決定するプロセス」
  • これがJISの「リスク分析」の定義に一致します。リスクを構成する要素を理解し、発生確率・影響度などからレベルを決める作業です。
• エ: 「リスクを発見、認識及び記述するプロセス」
  • これはリスク特定（risk identification）。何がリスクかを見つけて書き出す段階で、分析に入る前の作業です。

よくある誤解

1. 「リスク分析＝対策を決めること」と混同する
   • 分析はリスクの性質や大きさを理解してレベル化することで、対策（処理）はその後の選択・実施です。
2. 「リスク分析とリスク評価は同じ」と考える
   • リスク評価は分析の結果をリスク基準と比較して受容可能性を判断する工程です。分析は理解・レベル決定、評価は基準との比較・判断です。
3. 「リスクの特定だけで分析が終わる」と思う
   • 発見・記述（特定）は前段階。分析では発生確率や影響の見積もりまで踏み込みます。

補足コラム

1. リスク特定：重要な情報資産（顧客データ、給与台帳など）を洗い出す。
2. リスク分析（本項目）：それぞれの資産について、脅威（例：不正アクセス）、脆弱性（例：古いソフト）、発生確率と影響度を考え、リスクレベル（高・中・低）を決める。
   • 例として簡易マトリクスを使うことが多いです。例えば、発生確率（低1〜高5）と影響度（低1〜高5）を掛け合わせて数値で表す方法： $Risk=Likelihood\times Impact$。数値が高ければ対策の優先度も高くなります。
3. リスク評価：分析結果を会社が決めた「リスク基準」と比べ、許容するかどうか判断する。
4. リスク処理：許容できない場合に管理策を選んで実施する。

FAQ