平成26年度 春期 ITパスポート試験 問72

誤り。脅威とは、資産に損失を与えうる原因や事象そのもの (マルウェア、不正アクセス、地震、運用担当者のミスなど) であり、組織の外側の要因として与えられるものである。資産価値や脆弱性、まして結果であるリスクの大きさによって脅威の大きさが決まるわけではない。原因と結果を逆に述べており、因果の向きが誤っている。

誤り。資産価値は、その情報資産が組織にとってどれだけ重要か (機密性・完全性・可用性が損なわれたときの影響の大きさ) によって決まるものであり、リスクアセスメントでは最初に評価する入力である。脅威や脆弱性、リスクの大きさが資産価値を決めるのではなく、順序が逆である。

誤り。脆弱性とは、脅威につけ込まれる資産側の弱点 (修正されていないセキュリティホール、不十分なアクセス管理、教育不足など) であり、システムや管理体制の状態そのものとして評価される入力である。資産価値や脅威、結果であるリスクの大きさによって脆弱性の大きさが決まるという説明は、やはり因果を逆にしている。