解説

JIS Q 27001:2006 における情報システムのリスクとその評価【午前2 解説】

要点まとめ

• 結論：リスクの特定は脅威が脆弱性を突いて情報資産に影響を与える過程を明確にすることです。
• 根拠：JIS Q 27001:2006ではリスクを「脅威が脆弱性を利用して損害をもたらす可能性」と定義し、リスク特定はこの関係を把握する段階です。
• 差がつくポイント：脅威と脆弱性の定義を正確に理解し、リスク評価の段階での分類や対策決定との違いを押さえることが重要です。

正解の理由

よくある誤解

解法ステップ

1. 脅威と脆弱性の定義を確認する。
2. リスク特定の役割を理解し、脅威が脆弱性を利用する関係を把握する。
3. リスク評価との違いを明確にし、評価はリスクの大きさを判断する段階であることを認識する。
4. 各選択肢の記述が定義やプロセスに合致しているかを検証する。
5. 正しい記述（ウ）を選択する。

選択肢別の誤答解説

• ア：脅威は「脆弱性が顕在化する確率」ではなく、リスクをもたらす潜在的な要因です。技術的管理策は脆弱性の低減に関わりますが、脅威の確率を決めるものではありません。
• イ：脆弱性は「悪い影響を与える要因」ではなく、脅威が付け込む情報システムの弱点です。自然災害や人為的過失は脅威の例であり、脆弱性とは異なります。
• ウ：リスクの特定における脅威と脆弱性の関係を正しく説明しており、JIS Q 27001:2006の定義に合致します。
• エ：リスク評価はリスクの大きさを判断する段階ですが、「リスク回避とリスク低減の二つに評価を分類する」という表現は誤りで、リスク対応策の分類に関する説明と混同しています。

補足コラム

FAQ