システム監査技術者 2021年 午前2 問20

情報セキュリティのリスク用語【午前2解説】

正解の理由

解法ステップ

1. 選択肢に出てくる用語を、「脅威」「脆弱性」「リスク評価」「リスク対応」「リスク特定」に分けます。
2. それぞれの定義が、何を指すのかを確認します。
3. 「脅威」と「脆弱性」の取り違えや、「リスク評価」と「リスク対応」の取り違えに注意して、定義が一致する選択肢を選びます。

選択肢別の誤答解説

• ア：誤りです。 記述されている「資産又は管理策の弱点」は、脅威ではなく脆弱性です。脆弱性は、脅威に付け込まれる可能性のある弱点です。
• イ：誤りです。 記述されている「損害を与える可能性がある、望ましくないインシデントの潜在的な原因」は、脅威の説明です。脆弱性は、脅威によって利用される弱点です。
• ウ：誤りです。 リスクの大きさをリスク基準と比較し、受容可能かどうかを判断するのはリスク評価です。リスク対応は、リスクを変更するための選択や実施を指します。
• エ：適切です。リスクの発見・認識・記述に加え、リスク源や事象、その原因と結果の特定を含むという説明は、リスク特定の定義に合致します。

よくある誤解

• 脅威と脆弱性を同じものと考えること：脅威は損害を引き起こす可能性のある原因であり、脆弱性はその脅威に付け込まれる弱点です。
• リスク評価とリスク対応を混同すること：リスク評価では、分析したリスクを基準と比較して判断します。リスク対応では、そのリスクをどう扱うかを決めて実施します。
• リスク特定を、リスクの大きさを算出する作業だと考えること：特定は、まずリスクの内容を見つけて記述する段階です。

補足コラム

FAQ