情報セキュリティマネジメント 2024年 科目A 問01

リスクアセスメントのプロセス【情報セキュリティマネジメント解説】

正解の理由

• JIS Q 31000:2019：リスクマネジメントの指針を示す日本工業規格。ISO 31000（国際規格）を基にしています。
• リスクアセスメント（risk assessment）：組織が直面するリスクを理解し、重要度を判断する活動。
• リスク特定：何がリスクか（事象・原因・影響）を洗い出すこと。
• リスク分析：特定したリスクの性質を深掘りし、「発生可能性（likelihood）」と「影響度（impact）」を見積もること。
• リスク評価：分析結果を基準（許容できるリスク水準など）と比較して、どのリスクを優先的に対処するか判断すること。
• リスク対応（リスクトリートメント）：評価で重要と判断したリスクに対して、低減・移転・回避などの対策を実行すること。
• リスク受容：あるリスクを許容する（何もしない、または現状のまま受け入れる）判断・方針。

解法ステップ

1. 問題文で求められているのは「リスクアセスメントを構成するプロセス」。まず「アセスメント＝評価や分析」の範囲を思い出す。
2. 各選択肢に「分析」「評価」「特定」「対応」「受容」が含まれているかを確認する。
3. 「対応」「受容」はアセスメントの後の段階（対応・判断）なので除外する。
4. 「特定」「分析」「評価」が揃っている選択肢を選ぶ。これが イ。

選択肢別の誤答解説

• ア: リスク特定、リスク評価、リスク受容
  • なぜ誤りか：リスク受容（許容の判断）は評価後の意思決定であり、アセスメントの構成要素ではありません。分析が抜けているため、リスクの性質や大きさを把握できません。
• イ: リスク特定、リスク分析、リスク評価
  • なぜ正しいか：特定→分析→評価の順でリスクを把握し重みづけする流れは、JIS Q 31000:2019 の定義と一致します。
• ウ: リスク分析、リスク対応、リスク受容
  • なぜ誤りか：リスク対応（対策実施）と受容はアセスメントの後に位置するプロセスです。さらに「特定」が抜けているため、そもそも何がリスクか明確でありません。
• エ: リスク分析、リスク評価、リスク対応
  • なぜ誤りか：分析と評価は含まれているものの、リスクの洗い出し（特定）が欠けています。また、対応はアセスメントではなく、その後の対処プロセスです。

よくある誤解

• 「評価」と「受容」を混同する：評価は客観的に重要度を判断する作業。受容は経営判断としてそのリスクを受け入れるか否かを決める行為です。
• 「対応」がアセスメント内だと思い込む：対応＝対策の実行はリスク評価で優先度が決まった後に行います。
• 「分析＝評価」だと思う：分析はデータの測定や推定（可能性と影響の見積もり）。評価はその結果を基に基準と比較して順位付けする作業です。

補足コラム

• リスク特定：入退室管理がずさん → 「不正持ち出し」のリスクを洗い出す。
• リスク分析：どれくらいの頻度で鍵の管理が甘くなるか（可能性）と、情報流出時の影響（信用失墜、法的問題、賠償）を評価する。
• リスク評価：組織の許容基準と照らして優先度を決める（例：個人情報流出は高優先）。
• その後にリスク対応（鍵の二重管理、施錠ルールの徹底、監視カメラ導入）や、場合によっては受容（コスト対効果で許容）という判断が続きます。

• 発生可能性（1～5） × 影響度（1～5） = リスクスコア（1～25）
• 例：可能性4 × 影響度5 = スコア20 → 優先対応

FAQ