情報処理安全確保支援士 2016年 春期 午前2 問11

リスク関連用語【午前2解説】

正解の理由

解法ステップ

1. 各選択肢のキーワードを抽出する（例：「弱点」「悪用される」「原因」「比較するプロセス」「発見・認識・記述」など）。
2. JIS/ISO の主要用語定義と照合する（脅威、脆弱性、リスク特定、リスク評価、リスク対応など）。
3. キーワードがどの用語に対応するかで一致・不一致を判断する（用語の主体＝「何が」「どのように」定義されているかを見る）。
4. 最も規格定義に忠実な選択肢を選ぶ（ここでは「発見・認識・記述」を含む選択肢が該当）。

選択肢別の誤答解説

• ア: 「脅威とは、一つ以上の要因によって悪用される可能性がある資産又は管理策の弱点のことである。」
  • 問題点: ここで述べられているのは「弱点（脆弱性）」の説明であり、ラベル「脅威」と合っていません。脆弱性は「資産や管理策の弱点・欠陥」であり、脅威がその弱点を悪用する可能性を持ちます。
  • 例: パッチ未適用のソフトウェアは脆弱性。脆弱性自体は弱点であって、「脅威」とは区別されます。
• イ: 「脆弱性とは、望ましくないインシデントを引き起こし、システム又は組織に損害を与える可能性がある潜在的な原因のことである。」
  • 問題点（明確化）: この説明は「脅威（threat）」の定義に一致します。脆弱性は「潜在的な原因」ではなく「弱点・欠陥」です。脅威は望ましくないインシデントを引き起こす潜在的な原因であり、脆弱性は脅威により悪用される対象です。
  • 例: 「攻撃者（脅威）が存在する」＋「脆弱性（例: 設定ミス）」→ インシデントのリスクが顕在化する。
• ウ: 「リスク対応とは、リスクの大きさが受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセスのことである。」
  • 問題点: これは「リスク評価（risk evaluation）」の説明に該当します。リスク対応（risk treatment）は、評価の結果を受けてリスクを低減・回避・移転・受容するための処置（管理策の選択と適用）を行うプロセスです。リスクの受容可能性を判断するのは評価段階であり、その後に対応策（treatment）を決める流れとなります。
• エ: 「リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。」
  • 正当化: 前述の通り、リスク特定の定義と一致します。したがって選択肢エが正解です。

よくある誤解

• 脅威と脆弱性を混同する
  • 脆弱性は「弱点・欠陥」、脅威は「その弱点を悪用する可能性のある原因や行為」です。順序は「脆弱性（Weakness）＋脅威（Threat）」→ インシデント発生のリスク。
• リスク評価とリスク対応を取り違える
  • 評価（analysis/evaluation）はリスクの大きさや受容性の判断、対応（treatment）はその後の具体的対策の決定・実施です。
• 「原因＝脆弱性」と誤解する
  • 規格上は「原因（cause）」と「脆弱性（weakness）」は別概念で扱われることが多いので用語を厳密に区別することが重要です。

補足コラム

• 「弱点（脆弱性）を脅威が悪用するとインシデント、評価して対応する」 図にすると単純化して次の順序です：リスク源/脅威 → 脆弱性（弱点） → 事象（インシデント） → 影響（損害）。リスク特定はこのチェーンを見つけて記述する作業です。実務では、脆弱性スキャンや資産の棚卸しがリスク特定の主要手段となります。

FAQ