ITパスポート 2021年 問91

リスクアセスメントに含まれる作業の選択【ITパスポート 解説】

正解の理由

• b（リスクとなる要因を特定する）→ リスクの特定に対応。
• a（脅威や脆弱性などを使って、リスクレベルを決定する）→ リスクの分析に対応。
• d（リスクについて対応する優先順位を決定する）→ リスクの評価に対応。

• 脅威（threat：悪影響を及ぼす可能性のある事象や行為）
• 脆弱性（vulnerability：攻撃されたとき影響を受けやすい弱点）
• リスクレベル＝発生可能性 × 影響度 のように定量化・定性化して評価します。

解法ステップ

1. 問題文で求められている範囲を明確にする：今回は「リスクアセスメントに含まれるものだけ」。
2. リスクアセスメントの定義を頭に入れる：特定（identify）→ 分析（analyze）→ 評価（evaluate）。
3. 各選択肢を定義に当てはめる：
   • a → 分析（当てはまる）
   • b → 特定（当てはまる）
   • d → 評価（当てはまる）
   • c → 対応（treatment。アセスメント後の工程。含まれない）
4. 該当する組合せを選ぶ：a, b, d を含む選択肢は イ のみ。

選択肢別の誤答解説

• ア: a, b
  → d（優先順位決定）が抜けているため不完全。リスクの評価（優先順位付け）もアセスメントの重要な一部です。
• イ: a, b, d
  → 正しい。リスクの特定（b）、分析（a）、評価（d）を含むため、リスクアセスメントの定義に合致します。
• ウ: a, c, d
  → c（どのように対応するかを決定する）が含まれている点で誤り。対応の「決定」はアセスメントの後に行う工程です。
• エ: c, d
  → c が含まれているうえ、b（特定）や a（分析）が欠けており不正解。アセスメントで必要な「特定」「分析」が無い組合せです。

よくある誤解

1. 「優先順位を決める＝対策を決める」と混同する
   • 優先順位付け（どのリスクを先に扱うか）は評価の一部です。実際にどの対策を採るか（回避・軽減・受容・移転など）を決めるのはリスク対応の工程です。
2. 脅威と脆弱性を同じものだと思う
   • 脅威は「攻撃や事故の原因」、脆弱性は「被害を受けやすい弱点」です。両方がそろって初めてリスクが高くなります。
3. リスクアセスメントでリスクが「ゼロ」になると誤解する
   • アセスメントは評価・優先付けを行う作業で、対策を実施して初めてリスクを下げられます。

補足コラム

• リスクの定量的表現例：よく使う考え方は「リスク = 発生確率 × 影響度」です。式で書くと $リスク=発生確率\times 影響度$。
  • 発生確率：起こる可能性（高/中/低 または 0～1 の数値）
  • 影響度：起きたときの被害の大きさ（高/中/低 や金額など）
• 例：社内ファイルサーバ（サービスを提供するコンピュータ）が古いOSで脆弱性を持つ場合
  • 脅威：外部の攻撃者による攻撃
  • 脆弱性：未適用の脆弱性（パッチが当たっていない）
  • 結果（影響）：情報漏えい → 発生確率と影響度を評価して優先順位を決める（アセスメント）。
  • その後、実際にパッチ適用やアクセス制御強化といった対策（リスク対応）を決めて実行します。

FAQ