ITパスポート 2014年 春期 問72

リスクアセスメントにおける資産価値・脅威・脆弱性・リスクの関係【ITパスポート 解説】

正解の理由

• 資産価値：その情報やシステムが失われた／壊れたときの「影響の大きさ」
• 脅威（Threat）：攻撃者や自然災害のように、損害を引き起こす「きっかけ」や「可能性」
• 脆弱性（Vulnerability）：守りが弱い箇所、対策不足で被害が発生しやすい「弱点」
• リスク（Risk）：被害が実際に発生する「危険の大きさ」

解法ステップ

1. 各用語の意味を確認する（資産価値＝影響度、脅威＝発生要因、脆弱性＝弱点、リスク＝危険度）。
2. 「どれが他のどれによって決まるか」を論理的に考える。
   • 資産価値はその資産固有の価値であり、他の要素によって決まるものではない。
   • 脅威は外部要因であり、資産価値や脆弱性の大小で決まるものではない。
   • 脆弱性は設計や運用の問題であり、資産価値等で直接決まるものではない。
3. 残るのは「リスクが他の要素に依存する」という関係で、これが正しいことを確認して選ぶ。
4. 選択肢を見て、リスクが依存変数になっているもの（エ）を選ぶ。

選択肢別の誤答解説

• ア: 「脅威の大きさは、資産価値、脆弱性及びリスクの大きさによって決まる。」
  • 誤り。脅威は攻撃者や自然現象など外部からの発生要因であり、資産価値やリスクそのものに左右されるものではありません。脅威は独立して存在することが多いです。
• イ: 「資産価値の大きさは、脅威、脆弱性及びリスクの大きさによって決まる。」
  • 誤り。資産価値はそのデータやシステムが企業にもたらす重要性や損害額で決まります。脅威や脆弱性があるからといって資産の本来的な価値が変わるわけではありません（ただし、価値の評価にリスクが影響する場合もあるが、定義上の従属性は無い）。
• ウ: 「脆弱性の大きさは、資産価値、脅威及びリスクの大きさによって決まる。」
  • 誤り。脆弱性は設計ミスや設定不備、人的ミスなどによって生じる「弱点」です。資産価値や脅威の存在が脆弱性そのものを直接決めるわけではありません。
• エ: 「リスクの大きさは、資産価値、脅威及び脆弱性の大きさによって決まる。」
  • 正しい。上に書いたとおり、損害の大きさ（資産価値）、発生のきっかけ（脅威）、発生しやすさ（脆弱性）の組合せでリスクが決まります。したがって エ が正答です。

よくある誤解

1. 脅威と脆弱性を混同する
   • 脅威は「起こりうる出来事（攻撃や災害）」、脆弱性は「その出来事に対する弱さ」です。例：泥棒（脅威）と施錠されていないドア（脆弱性）は別物です。
2. 資産価値は他の要素で変わると考える
   • 資産価値は基本的にその資産が失われた時の影響で決まります。脅威が多くても資産価値そのものが変わるわけではありません（評価の仕方は別ですが、定義上は独立）。
3. リスク＝脆弱性と単純化してしまう
   • 脆弱性があっても脅威がなければ被害に至らないことがあり、逆も同様です。リスクは複合的です。

補足コラム

• 数値例でイメージすると分かりやすいです。例えば：
  • 資産価値（影響度） = 10（高い）
  • 脅威の発生確率 = 0.2（年に20%の確率）
  • 脆弱性による発生しやすさ = 0.5（対策が半分しか効いていない）
  • 単純化した計算でのリスク（期待被害）＝ $10\times 0.2\times 0.5=1$（単位は損害の期待値）
• リスク低減策（リスク対応）の種類：
  • 回避（Avoid）：リスク源を無くす（例：危険なサービスの利用を停止）
  • 軽減（Mitigate）：脆弱性を減らす（例：パッチ適用、アクセス制御）
  • 受容（Accept）：リスクを許容する（コストと効果を比べて受け入れる）
  • 移転（Transfer）：保険や外部委託で負担を移す
• 実務ではリスクは「影響（Impact）」×「発生確率（Likelihood）」で評価することが多く、今回の三要素はその影響や確率を決める要因と考えると整理しやすいです。

FAQ