システム監査技術者 2009年午前2 問21

問題文

情報システムのリスク分析に関する記述のうち、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：リスクには、投機的リスクと純粋リスクとがある。情報セキュリティのためのリスク分析で対象とするのは、投機的リスクである。

イ：リスクの予想損失額は、損害予防のために投入されるコスト、復旧に要するコスト、及びほかの手段で業務を継続するための代替コストの合計で表される。

ウ：リスク分析では、現実に発生すれば損失をもたらすリスクが、情報システムのどこに、どのように潜在しているかを識別し、その影響の大きさを測定する。（正解）

エ：リスクを金額で測定するリスク評価額は、損害が現実のものになった場合の1回当たりの平均予想損失額で表される。

🔒 解説は解答すると表示されます

リスク分析では、情報システムにどのようなリスクが潜んでいるかを識別し、そのリスクが発生した場合の影響の大きさなどを評価します。

ウは、リスクが情報システムのどこに、どのように存在するかを識別し、影響の大きさを測定すると述べています。リスク分析の基本的な考え方に合致しています。

ア：誤りです。
投機的リスクは、利益が生じる可能性と損失が生じる可能性の両方があるリスクです。一方、情報セキュリティで主に対象とするのは、損失をもたらす純粋リスクです。
イ：誤りです。
損害予防のコスト、復旧コスト、代替手段のコストを合計したものを、リスクの予想損失額とするのは適切ではありません。予想損失を評価する際は、一般に損害の大きさだけでなく、発生可能性も考慮します。
ウ：正しいです。
リスクの潜在箇所や内容を特定し、それが情報システムに与える影響の大きさを測定するという、リスク分析の要点を述べています。
エ：誤りです。
1回の損害発生時に見込まれる平均損失額だけでは、リスク全体の評価には不十分です。損害の発生可能性や発生頻度も考慮する必要があります。

損害額が大きければ、リスクも必ず大きいと思い込むこと
発生可能性が非常に低ければ、予想損失は小さくなる場合があります。損害の大きさと発生可能性の両面から考えます。
リスク分析とリスク対策を混同すること
リスク分析は、リスクを特定して評価する段階です。損害を防ぐ対策の選定や実施とは区別します。
情報セキュリティのリスクを投機的リスクと考えること
情報セキュリティでは、利益を得る可能性よりも、情報漏えいやシステム停止などの損失をもたらすリスクが中心です。

定量的にリスクを評価する場合、たとえば「1回の損害発生時に見込まれる損失額」と「一定期間内の発生頻度」を分けて考えます。

年間の予想損失額は、概念的には次のように表せます。

年間予想損失額 = 1 回当たりの予想損失額 \times 年間発生頻度

このため、1回当たりの損失額だけでリスクの大きさを判断しないことが重要です。

Q. リスクの識別では、具体的に何を確認しますか？
A. 情報資産、脅威、脆弱性などを確認し、どのような損失が起こり得るかを明らかにします。

Q. 純粋リスクと投機的リスクの違いは何ですか？
A. 純粋リスクは損失が発生する可能性があるリスクです。投機的リスクは、利益と損失のどちらが生じる可能性もあるリスクです。

関連キーワード: リスク分析、リスク識別、純粋リスク、投機的リスク、予想損失額

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！