システム監査技術者 2019年午前2 問20

問題文

JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する記述のうち、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：脅威とは、一つ以上の要因によって悪用される可能性がある、資産又は管理策の弱点のことである。

イ：脆弱性とは、システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因のことである。

ウ：リスク対応とは、リスクの大きさが、受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセスのことである。

エ：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。（正解）

🔒 解説は解答すると表示されます

エの説明は、JIS Q 27000:2014における「リスク特定」の定義に合致しています。

リスク特定とは、リスクを発見し、認識し、記述するプロセスです。リスク源や事象だけでなく、その原因や起こり得る結果を特定することも含まれます。

選択肢にある用語と説明の組合せを確認します。
「弱点」「望ましくないインシデントの原因」「リスク基準との比較」「リスクの発見・記述」といったキーワードに注目します。
用語の定義と照らし合わせます。
- 弱点は「脆弱性」
- 損害につながる望ましくないインシデントの潜在的な原因は「脅威」
- リスク分析の結果をリスク基準と比較するのは「リスク評価」
- リスクを発見・認識・記述するのは「リスク特定」です。
定義が正しく対応しているエを選びます。

ア：誤りです。
「資産又は管理策の弱点」は「脆弱性」の説明です。「脅威」は、システムや組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因です。
イ：誤りです。
説明されているのは「脅威」です。「脆弱性」は、脅威によって悪用される可能性がある資産や管理策の弱点です。アとイは、脅威と脆弱性の説明が入れ替わっています。
ウ：誤りです。
リスク分析の結果をリスク基準と比較し、リスクが受容可能かどうかを判断するのは「リスク評価」です。「リスク対応」は、リスクを修正するプロセスです。
エ：適切です。
リスクの発見・認識・記述に加えて、リスク源、事象、原因、起こり得る結果の特定を含むという説明は、「リスク特定」の定義に合致します。

脅威と脆弱性を混同する
脅威は損害を引き起こす可能性のある原因、脆弱性はその脅威に悪用される可能性のある弱点です。
リスク評価とリスク対応を混同する
リスク評価は、分析結果を基準と照らして判断することです。リスク対応は、リスクを修正することです。
リスク特定を「リスクの大きさの判断」と捉える
リスク特定はリスクを見つけて記述する段階です。大きさや受容可能性の判断は、リスク分析・リスク評価で行います。

リスクに関する用語は、次のように「弱点」「原因」「発見」「判断」「修正」で整理すると覚えやすくなります。

Q. 脅威があれば、必ずリスクが発生しますか？
A. 必ず発生するわけではありません。脅威が脆弱性を悪用する可能性や、その結果の影響などを考慮してリスクを評価します。

Q. リスク特定では、リスクの大きさも決めますか？
A. リスク特定の中心は、リスク源や事象、原因、結果を見つけて記述することです。リスクの分析や評価は、それに続く別のプロセスです。

関連キーワード: 脅威、脆弱性、リスク特定、リスク評価、リスク対応、リスク基準

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！