本ユニットでは、守るべき情報資産にひそむリスクを洗い出し、その大きさを見積もって対応の要否を判断する一連の手続き「リスクアセスメント」の流れを学びます。リスク特定→リスク分析→リスク評価という工程の順番と各段階の役割は、情報セキュリティ管理の中でも頻出のテーマです。
脅威が脆弱性を突いて情報資産に損害を与える可能性のこと。
情報セキュリティリスクとは、情報という資産が、脅威(攻撃・故障・災害など)と脆弱性(弱点)によって損なわれる可能性のことです。一般に「脅威」と「脆弱性」が組み合わさって初めてリスクが生じると説明されます。 リスクアセスメントが評価する対象そのものであり、まず「何が、どんな弱点を、どんな脅威に突かれて危ないのか」を意識することが出発点になります。試験では、リスク=脅威×脆弱性で情報資産に被害が及ぶ可能性、という基本構図と、脅威・脆弱性・情報資産という用語の区別が問われます。
たとえ鍵の壊れた窓(脆弱性)がある家に、近所で泥棒(脅威)が出るという状況で「空き巣に入られるかもしれない」という心配そのものがリスクにあたります。
記憶フック情報セキュリティリスクといえば脅威×脆弱性で情報資産が損なわれる可能性
リスクの特定・分析・評価を一続きで行う一連の手続き。
リスクアセスメントは、情報資産にひそむリスクを「特定→分析→評価」の順に明らかにしていく一連の手続きです。リスクを洗い出し、その大きさを見積もり、対応が必要かどうかを判断するところまでを含みます。 アセスメント(評価・査定)で得た結果をもとに、次の工程であるリスク対応(回避・低減・移転・受容など)へ進みます。試験では、リスクアセスメントが3つの工程をまとめた上位プロセスであること、そしてリスク対応はアセスメントには含まれず後続に位置づけられること、工程の正しい順番が頻出です。
たとえ健康診断にたとえると、どこが悪そうか調べ(特定)、その重さを測り(分析)、治療が要るか判定する(評価)までの一連の検査が、リスクアセスメントにあたります。
記憶フックリスクアセスメントといえば特定・分析・評価をまとめた一連の手続き
どこにどんなリスクがあるかを洗い出して明らかにする工程。
リスク特定は、リスクアセスメントの第1段階で、守るべき情報資産に対してどのようなリスクが存在するかを漏れなく洗い出す工程です。資産・脅威・脆弱性を見つけ出し、リスクの一覧をつくります。 ここで見落としたリスクは後の分析・評価でも扱えないため、まず広く挙げることが重要です。試験では、特定がアセスメントの最初の工程であること、リスクの大きさを「見積もる」のは次のリスク分析であり、特定はあくまで「洗い出し」までだという役割の違いが問われます。
たとえ大掃除の前に、家じゅうを見回って「ここが汚れている」「ここが壊れそう」と問題箇所を紙に書き出していく作業が、リスク特定にあたります。
記憶フックリスク特定といえばリスクを洗い出す第1工程
特定したリスクの発生可能性と影響度から大きさを見積もる工程。
リスク分析は、リスクアセスメントの第2段階で、特定したそれぞれのリスクについて「どれくらい起こりやすいか(発生可能性)」と「起きたらどれくらい困るか(影響度)」を見積もり、リスクの大きさを求める工程です。 数値で見積もる定量的分析と、大・中・小などで段階づける定性的分析があります。試験では、分析が「リスクの大きさを見積もる」段階であること、続くリスク評価が「その大きさを基準と照らして対応要否を判断する」段階であることの違いが頻出です。
たとえ書き出した家の問題点ごとに「直さないとどれだけ困るか」「どれくらいの頻度で起こるか」を考え、重大さに点を付けていく作業が、リスク分析にあたります。
記憶フックリスク分析といえば発生可能性×影響度でリスクの大きさを見積もる工程
分析したリスクの大きさを基準と比べ対応の要否を判断する工程。
リスク評価は、リスクアセスメントの第3段階(最終段階)で、分析で見積もったリスクの大きさを、あらかじめ定めた基準(リスク受容基準など)と照らし合わせ、対応が必要かどうか、どのリスクを優先するかを判断する工程です。 ここで「対応が必要」と判断されたリスクは、次工程のリスク対応(回避・低減・移転・受容など)へ引き継がれます。試験では、評価がアセスメントの締めくくりで、対応要否や優先順位を決める段階であること、リスク対応そのものは評価には含まれない点が問われます。
たとえ点を付けた家の問題点を「この点数以上は今すぐ直す」という自分ルールと比べ、どれから手を付けるか決める作業が、リスク評価にあたります。
記憶フックリスク評価といえば基準と比べて対応要否を判断する最終工程
関連の過去問演習は今後のアップデートで追加予定です。