情報セキュリティマネジメント 2018年 春期 午前（科目A） 問03

リスク評価【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 設問の用語が JIS/ISO の英語定義（risk evaluation）に対応するかを確認する。
2. 各選択肢の動詞に注目する（例：修正する、比較する、決定する、発見する）。
3. 「比較して受容可能かを決定する」という表現があれば、それがリスク評価（evaluation）を指すと判断する。
4. 残りはリスク分析（analysis）やリスク処置（treatment）など別概念でないか照合する。

選択肢別の誤答解説

• ア: 「対策を講じることによって、リスクを修正するプロセス」
  • これはリスク処置（risk treatment：リスクを低減・回避・移転・受容するための対策実施）の説明です。評価ではなく実際の対策の段階なので誤りです。
• イ: 「リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス」
  • JIS/ISO の定義そのものです。分析結果を基準と比較して判断する活動がリスク評価です。
• ウ: 「リスクの特質を理解し、リスクレベルを決定するプロセス」
  • これはリスク分析（risk analysis）に該当します。リスクの性質や発生確率・影響度を評価して“リスクレベル”を算出するのが分析です。評価はその後に行う判断フェーズです。
• エ: 「リスクの発見、認識及び記述を行うプロセス」
  • これはリスクの特定（risk identification）に該当します。まずリスクを見つけて記述する段階であり、評価とは別の工程です。

よくある誤解

• リスク評価＝リスク全体の作業、と思い込む
  • 実務では「リスク評価」は分析結果を基準と比較して判断する狭い意味です。リスクの発見や分析、処置は別工程として整理されます。
• リスク基準は曖昧でよいと思う
  • 基準が不明瞭だと評価結果がばらつきます。被害金額や許容ダウンタイムなど、具体的な数値や条件を決めることが重要です。
• 評価は数値だけの作業と思う
  • 数値（発生確率や影響度）は重要ですが、法令、社会的影響、事業継続性など定性的な観点も評価に含めます。

補足コラム

• 用語の整理（JIS/ISO の考え方）
  • リスク特定（risk identification）：リスクを見つけて書き出す。
  • リスク分析（risk analysis）：リスクの原因、発生確率、影響の大きさを明らかにしてリスクレベルを算出する。
  • リスク評価（risk evaluation）：分析結果を「リスク基準」と比較して受容可能か判断する。
  • リスク処置（risk treatment）：判断に基づき対策を決めて実施する。
• 覚え方のヒント：見つける→測る→比べる→対処する（特定→分析→評価→処置）。

FAQ