情報セキュリティマネジメント 2025年 科目A 問01

リスク分析の意義【情報セキュリティマネジメント解説】

正解の理由

• リスク分析（リスクの性質や影響を理解する作業）は、リスクを「どのようなものか」「どの程度の影響があるか」を明らかにします。
• JIS/ISO の標準では、リスクマネジメントの中で「特定（identification）→ 分析（analysis）→ 評価（evaluation）」という流れで扱います。したがって「性質を理解する」は分析の役割です。

解法ステップ

1. 問題文で出ている用語（リスク特定、リスク分析、リスク評価、リスク対応）を一つずつ思い出す。
2. 各用語の役割を短く分ける：
   • リスク特定：リスクを発見・記述する
   • リスク分析：性質・特徴、必要ならレベルを理解する
   • リスク評価：分析結果を基準に重要度を判断する
   • リスク対応（処置）：対策を選び実施する
3. 選択肢の文言と上の役割を照合する。性質やレベルの理解を述べているのが エ なので正解と判断する。

選択肢別の誤答解説

• ア：リスク対応の意義は「プロセスの設計、実施及び結末の質及び効果を保証し、改善することである」
  • 誤り。これはリスクマネジメントプロセス全体の「監視・見直し」やプロセス改善に近い内容です。リスク対応（リスク処置）は具体的な対策の選定・実施を指します。
• イ：リスク特定の意義は「リスクに対処するための選択肢を選定し、実施することである」
  • 誤り。選択肢の選定・実施はリスク対応（処置）の役割です。リスク特定はまず「何が問題になり得るか」を発見し記述する段階です。
• ウ：リスク評価の意義は「組織の目的の達成を助ける又は妨害する可能性のあるリスクを発見し、認識し、記述することである」
  • 誤り。これも「発見・認識・記述」を述べており、リスク特定の説明に該当します。リスク評価は分析結果に基づき、リスクの重要度を判断することが主目的です。

よくある誤解

1. 用語を混同する（特に「特定」と「評価」）
   • 「見つける」と「判断する」は別工程です。まず見つけて（特定）、性質を詳しく理解（分析）し、その重要性を判断（評価）します。
2. 分析＝対策の実行と捉える
   • 分析は理解する段階で、対策の選定・実行はその後の「対応」です。実務では分析を飛ばして即対応すると効果の薄い対策になりがちです。
3. 「レベル」を必ず数値化すると思い込む
   • レベル（高→低）は必要に応じて定量化（数値）することもありますが、定性的（高・中・低など）な評価で十分な場合もあります。目的に応じて使い分けます。

補足コラム

• コミュニケーションと協議（関係者との共有）
• 範囲・文脈の設定（何を守るか、どこまでが対象か）
• リスクアセスメント（特定 → 分析 → 評価）
• リスク対応（対策の選定と実施）
• 監視・見直し、記録・報告

• 特定：社内で「どんな情報漏えいの可能性があるか」を洗い出す（紛失、盗難、メール誤送信など）。
• 分析：それぞれの事象について「起きやすさ」と「被害の大きさ」を整理し、どんな状況で発生しやすいかを明らかにする。
• 評価：分析結果を基準（許容できるかどうか）と照らし合わせて優先順位をつける。
• 対応：優先度の高いものから対策（暗号化、教育、手順変更など）を導入する。
• 監視：対策の効果を定期チェックし、必要なら修正する。

FAQ