リスクアセスメントの工程
頻出約 32 分5 用語過去問 15 題
この単元の目標
- 情報セキュリティリスク を、脅威が脆弱性につけ込んで情報資産に損害を与える関係として説明できる。
- リスクアセスメント の工程を正しい順に並べ、リスク対応がその外にあることを見分けられる。
- 特定・分析・評価の各工程で行う作業を区別できる。
用語総表（5 語）
用語
情報セキュリティリスク は、脅威 が 脆弱性 につけ込むことで、情報資産 に損害が生じる可能性である。
脅威 は損害の原因となる出来事で、脆弱性 は脅威につけ込まれる守る側の弱点である。どちらか一方だけでは損害に結び付きにくく、両方がそろったときにリスクが高まる。リスクアセスメントは、このリスクを見つけて大きさを測り、対応の要否を決める活動である。
たとえ空き巣 (脅威) が出る地域で、裏口の鍵が壊れている (脆弱性) 家があるとき、家財が盗まれるかもしれないという見込みそのものがリスクにあたる。
覚え方脆弱性の「脆」は「もろい」と読む。もろいのは守る側であり、攻めてくる原因の側ではない。
出題のポイント
- 出題情報資産の 脆弱性 を 脅威 が突き、組織が損害を受ける可能性が情報セキュリティリスクである。脅威と脆弱性の役割を入れ替えた組合せは成り立たない。
- 出題脅威には悪意ある攻撃だけでなく、自然現象や機器の不調のような意図しない出来事も含まれる。設定の不備や利用者教育の不足は、脅威ではなく脆弱性の側に入る。
この用語の過去問 2 題 情報セキュリティリスク →
リスクアセスメント は、リスク特定・リスク分析・リスク評価 の 3 つの工程をこの順に行い、対応が必要なリスクとその優先順位を明らかにする一連の活動である。
リスクアセスメントは、リスクを調べて手を打つまでを含む組織の活動 (リスクマネジメント) のうち、手を打つ前にリスクを調べる段階にあたる。その結果、どのリスクに対応が必要で、どれから手を付けるかが明らかになる。
たとえ住宅の点検業者が、ひび割れや雨漏りの箇所を探し、それぞれの傷み具合を測り、補修の目安と比べて急ぐものを報告するまでの作業にあたる。
出題のポイント
- 出題リスクアセスメントに含まれるのはリスク特定・リスク分析・リスク評価の 3 つで、リスク対応は含まれない。対応の優先順位を決めるまでがアセスメントで、対応方法の決定はリスク対応で行う。
- 出題工程の順序は特定から分析、分析から評価であり、その後にリスク対応が続く。評価が分析より先に来ることはない。
この用語の過去問 2 題 リスクアセスメント →
リスク特定 は、リスクアセスメントの最初の工程で、守るべき情報資産にどんなリスクがあるかを見つけて書き出す作業である。
対象の情報資産を洗い出し、それぞれに関わる脅威と脆弱性を組み合わせて、起こりうる事態を記述する。ISMS (組織が情報セキュリティを継続して管理する仕組み) では、組織が定めた 適用範囲 の中の情報を対象にする。ここで漏れたリスクは後の工程でも扱われないため、広く拾い上げることが求められる。
たとえ旅行の前に、財布をなくす、電車が止まる、宿の予約が取れていないなど、困りそうな事態を紙に書き出していく段階にあたる。
覚え方英語では identification で、身分証の ID と同じ語である。まず「何者がいるのか」を突き止める段階と結び付けるとよい。
出題のポイント
- 出題リスクアセスメントで最初に行うのは リスク特定 で、組織にどのようなリスクがあるかを洗い出す。
- 出題ISMS のリスク特定では、適用範囲の中にある情報について、機密性・完全性・可用性の 3 つが失われることに伴うリスクを洗い出す。
この用語の過去問 2 題 リスク特定 →
リスク分析 は、特定したリスクごとに 発生可能性 と 影響の大きさ を見積もり、リスクレベル (リスクの大きさ) を決める工程である。
見積りには、損失額のような数値で表す 定量的 な方法と、高・中・低のような段階で表す 定性的 な方法がある。資産ごとに資産価値・脅威・脆弱性を見積もって大きさを求める方法もあり、このとき資産価値は影響の大きさに、脅威と脆弱性は起こりやすさに関わる。
たとえ台風が近づくとき、上陸しそうかどうかと、上陸したら被害がどれほど出そうかを合わせて、その台風がどれほど危ないかを見積もる作業に似ている。
覚え方「析」は木を斤 (おの) で割る形の字である。リスクを割って中身を確かめ、大きさを測る工程と覚えられる。
出題のポイント
- 出題リスク分析では、各リスクの リスクレベル を基準と比べられる形で決める。分析の手法は組織に合ったものを選び、全リスクで同じ技法にそろえる決まりはない。
- 出題資産価値・脅威・脆弱性の 3 つがそろってリスクの大きさを左右する。ほかの条件が同じなら、資産価値が高い資産ほどリスクも大きい。
- 混同注意リスクを見つけて一覧にするのは リスク特定、一覧の各リスクに大きさを付けるのが リスク分析 である。
この用語の過去問 2 題 リスク分析 →
リスク評価 は、分析で求めたリスクレベルを リスク基準 と比べ、対応が必要かどうかと、対応する順番を決める工程である。
リスク基準 は、どの程度のリスクなら受け入れてよいかなどを示す物差しで、評価を始める前に組織が決めておく。評価の結果は、次のリスク対応への入力になる。
たとえテストの点数を合格点と比べ、補習が要る科目と、どの科目から補習するかを決める場面に似ている。
覚え方英語では evaluation で、value (価値) と同じ語源を持つ。物差しに当てて値打ちを決める工程と結び付けられる。
出題のポイント
- 出題リスク評価は、分析で算出したリスクの大きさを前もって決めた基準と比べ、その重大さと対応の優先順位を決める工程である。
- 出題判断に使う基準そのものを作る作業は、リスク評価の中身ではない。基準は評価より前に用意しておく。
- 混同注意大きさを見積もるところまでが リスク分析、その大きさを基準に照らして対応の要否を決めるのが リスク評価 である。
この用語の過去問 2 題 リスク評価 →
要点
- 情報セキュリティリスク は、脅威が脆弱性につけ込んで情報資産に損害が出る可能性である。
- リスクアセスメント は特定、分析、評価の順に進み、その後にリスク対応が続く。
- 資産価値・脅威・脆弱性の 3 つがリスクの大きさを左右する。
- 評価に使うリスク基準は、評価を始める前に組織が定めておく。
この分野の過去問をすべて見る →