情報セキュリティマネジメント 2019年 春期 午前（科目A） 問06

リスクレベル【情報セキュリティマネジメント解説】

正解の理由

• リスク（risk：不確実性がもたらす、望ましくない影響）
• 影響（結果、impact：実際に発生したときの被害の大きさ）
• 発生確率（likelihood：その事象が起きる可能性）

解法ステップ

1. 問題文で鍵となる語句を探す：「結果」「起こりやすさ」「組合せ」など。
2. 各選択肢がどの用語を説明しているかを当てはめる。
   • 「弱点」は通常「脆弱性（vulnerability）」を説明する語。
   • 「優先順位」は「リスクのランク付け・優先度」関係。
   • 「目安とする条件」は「リスク基準（risk criteria）」に相当。
3. 「結果と起こりやすさの組合せ」を説明しているものを選ぶ（→ イ）。

選択肢別の誤答解説

• ア: 「脅威によって付け込まれる可能性のある、資産又は管理策の弱点」
  → これは「脆弱性（vulnerability：弱点）」の説明です。脆弱性はリスクを生む要素ですが、リスクレベルそのものではありません。
• イ: 「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」
  → JIS Q 27000 の定義に合致します。影響（結果）と発生確率を組合せて表す指標が「リスクレベル」です。
• ウ: 「対応すべきリスクに付与する優先順位」
  → これは「リスクの優先順位付け」や「リスクランク（risk ranking）」の説明です。優先順位はリスクレベルなどをもとに決めますが、定義は別物です。
• エ: 「リスクの重大性を評価するために目安とする条件」
  → これは「リスク基準（risk criteria）」の説明です。評価に使う尺度や基準（例：業務停止が1日以上なら重大）を指します。

よくある誤解

1. 「リスクレベル＝脆弱性」と混同する
   • 脆弱性はリスクを発生させうる弱点。リスクレベルは発生した場合の影響と起こりやすさで決まる評価値です。順番は「脆弱性がある」→「脅威が働く」→「リスク発生」→「リスクレベルの評価」。
2. 「リスクレベル＝優先度」と考える
   • 優先順位はリスクレベルや事業影響度など複数要素を踏まえて決まる運用上の判断です。定義上は別概念です。
3. 「リスクレベルは必ず数値で表すべき」とする誤解
   • 実務では「高・中・低」のような定性的評価も多く使われます。大事なのは影響と確率を一貫して評価することです。

補足コラム

• 実務イメージ：社内の顧客データが暗号化されていない場合、影響（顧客情報漏えいによる信用失墜）は大きいが、アクセス制御がしっかりしていれば発生確率は低いかもしれません。この「大きさ」を合わせて判断するのがリスクレベルです。リスクレベルが高ければ、優先的に対策（暗号化、アクセス制御強化）を検討します。
• 数値化の例：簡易的に $リスクレベル=影響度\times 発生確率$ として、各項目を 1〜5 の点数で評価し合算・掛け算でランク分けする方法があります（$影響度=5,発生確率=4\Rightarrow リスクレベル=20$）。ただし、評価方法は組織のルール（リスク基準）で決めます。
• JIS Q 27000 は ISO/IEC 27000 シリーズに準拠した用語定義を示す規格で、共通の言葉遣いを揃えるために重要です。用語を正確に理解すると、社内での意思疎通やリスク対応方針の策定がスムーズになります。

FAQ