基本情報技術者試験 基本情報技術者試験 平成31年度 春期 午前 午前 問41: JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における"リスクレベル"の定義はどれか。

問題本文

JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における"リスクレベル"の定義はどれか。

選択肢

• ア.脅威によって付け込まれる可能性のある，資産又は管理策の弱点
• イ.結果とその起こりやすさの組合せとして表現される，リスクの大きさ
• ウ.対応すべきリスクに付与する優先順位
• エ.リスクの重大性を評価するために目安とする条件

正解

イ. 結果とその起こりやすさの組合せとして表現される，リスクの大きさ

解説

JIS Q 27000 における「リスクレベル」は、結果 (影響度) と起こりやすさ (発生確率) の組合せで表現されるリスクの大きさ。イが正解。

選択肢ごとの解説

• ア.資産・管理策の弱点は「脆弱性」の定義。
• イ.結果と起こりやすさの組合せで表すリスクの大きさ。リスクレベルの定義で正解。
• ウ.対応すべきリスクの優先順位はリスク評価の結果として決まるもの。
• エ.重大性評価の目安はリスク基準の説明。