ITパスポート 2018年 秋期 問68

情報セキュリティにおけるリスクアセスメントの説明はどれか【ITパスポート 解説】

正解の理由

• 資産：守るべき情報やシステム、機器、人など
• 脅威：資産に悪影響を与える可能性のある出来事（例：ウイルス、自然災害、人為的ミス）
• 脆弱性（ぜいじゃくせい）：攻撃や事故を許してしまう弱点

解法ステップ

1. 問題文のキーワードを探す：「リスクアセスメント」「分析」「評価」「基準に照らして対応を判断」などを注目。
2. 設問の定義を頭に入れる：リスクアセスメントは「リスクを見つけ→評価し→対応の要否を決める」活動。
3. 選択肢を一つずつ当てはめる：
   • その活動が「感染対策」「本人確認」「費用対効果算出」ならリスクアセスメントではないと除外。
4. 最も定義に合う選択肢が イ であると決定する。

選択肢別の誤答解説

• ア: 「PCやサーバに侵入したウイルスを、感染拡大のリスクを抑えながら駆除する。」
  → これはインシデント対応やウイルス駆除（事後対応・フォレンジックやマルウェア除去）の説明であり、リスクアセスメント（事前にリスクを評価して対策を決める活動）とは別物です。
• ウ: 「事前に登録された情報を使って、システムの利用者が本人であることを確認する。」
  → これは認証（authentication：利用者が本人であることを確認する仕組み）の説明です。ログインやパスワード、二要素認証などに関する内容で、リスク評価の説明ではありません。
• エ: 「情報システムの導入に際し、費用対効果を算出する。」
  → これは費用対効果分析や投資評価（ROIなど）に関する説明で、リスクの分析・評価・判断というリスクアセスメントの役割とは異なります。

よくある誤解

1. リスクアセスメント = 対策を実行すること
   • 実際は「評価して対応の必要性を決める」段階で、対応（対策の実施）はリスクマネジメント（管理）の次のステップです。
2. 定量的な数値計算だけがリスク評価だと思う
   • 数値で表す定量評価もありますが、専門用語でない場面では「高／中／低」の定性評価（定性的評価）で十分なことも多いです。
3. 技術的な項目だけを評価すればよい
   • ビジネス影響（業務停止による売上喪失や信用失墜）も重要な評価対象です。IT以外の観点も含めて評価します。

補足コラム

• 基本的な流れ（リスクアセスメントの代表的ステップ）
  1. 資産の特定（何を守るか）
  2. 脅威と脆弱性の特定（何が起こり得るか・弱点はどこか）
  3. 発生確率と影響度の評価（どれくらいの確率で、どれほどの被害か）
  4. リスクの算出や格付け（例：$リスク=発生確率\times 影響度$）
  5. 基準に照らして対応の要否を判断（受容・低減・移転・回避など）
• リスク扱いの例（対応の種類）
  • 軽減（mitigate）：対策でリスクを下げる（パッチ適用、アクセス制御など）
  • 移転（transfer）：保険や外部委託でリスクを移す
  • 受容（accept）：対応コストに見合わない場合はリスクを受け入れる
  • 回避（avoid）：リスクを生む行為をやめる
• 出力物としては「リスクレジスター（リスク一覧表）」がよく作られます。関係者と合意した基準で優先順位を付け、対策を計画します。
• 関連する国際標準：ISO（International Organization for Standardization：国際標準化機構）の情報セキュリティ管理に関する規格（例：ISO/IEC 27005）にはリスクアセスメントの考え方が示されています。

FAQ