問47
頻出度★★★
情報セキュリティのリスクマネジメントにおいて, リスクの重大さを決定するために, 算定されたリスクを与えられた基準と比較するプロセスはどれか。
平成26年度 秋期 ITパスポート試験 問47
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 47
不正解ア
リスク対応は、リスクアセスメントで重大と判定されたリスクに対して、リスク低減・リスク回避・リスク移転 (共有)・リスク保有 (受容) といった処置を選択して実施し、リスクを修正するプロセスである。アセスメントが終わった後の段階であり、基準と比較して重大さを決める段階ではない。
不正解イ
リスクの特定 (リスク特定) は、組織にどのような情報資産と脅威・脆弱性があり、どのようなリスクが存在するかを発見・認識し、一覧として記述するプロセスである。リスクアセスメントの最初の段階であり、この時点ではリスクの大きさはまだ算定されておらず、基準との比較も行わない。
- ウ
正解 正解はウ「リスク評価」。情報セキュリティのリスクマネジメントは JIS Q 27000 (ISO/IEC 27000) で用語が定義されており、リスクアセスメントは「リスク特定 → リスク分析 → リスク評価」の三段階から成る。この最後の段階であるリスク評価は、リスク分析で算定されたリスクの大きさ (リスクレベル) を、あらかじめ定めておいたリスク基準 (受容できるリスクの水準) と比較し、そのリスクが受容できるかどうか、どのリスクから対応すべきかという重大さ・優先順位を決定するプロセスである。設問の「算定されたリスク」がリスク分析の出力、「与えられた基準」がリスク基準、「リスクの重大さを決定する」が受容可否と優先順位の判断にそれぞれ対応するので、定義がそのまま当てはまる。要するに、大きさを測るのがリスク分析、測った結果に対して基準と照らして良し悪しを判定するのがリスク評価である。
不正解エ
リスク分析は、特定したリスクについて発生確率と影響度などを見積もり、リスクの性質を理解してリスクレベル (リスクの大きさ) を算定するプロセスである。設問文の「算定されたリスク」を生み出すのがこのリスク分析であって、その算定結果を基準と比較する次の段階ではない。
ここがポイント
- リスクアセスメント = リスク特定 (どんなリスクがあるか洗い出す) + リスク分析 (発生確率と影響度からリスクレベルを算定する) + リスク評価 (算定結果をリスク基準と比較し、受容可否と優先順位を決める) の三段階。その後にリスク対応 (低減・回避・移転・保有) が続く、という順序を押さえる。
- リスク分析とリスク評価の区別が頻出。「大きさを算定する」= リスク分析、「基準と比較して重大さ・受容可否を決定する」= リスク評価。設問に「基準と比較」という語があればリスク評価と判断してよい。
用語