ITパスポート試験 ITパスポート 2014年 (平成26年 春期) 問72: 情報セキュリティのリスクアセスメントにおける、資産価値、脅威、脆弱性及びリスクの大きさの関係として、適切なものはどれか。

正解

エ. リスクの大きさは、資産価値、脅威及び脆弱性の大きさによって決まる。

正答率 53.5%（834人中 446人が正解）

問題の解説

リスクアセスメントでは、守るべき資産の価値が高いほど、脅威が現実になる可能性が高いほど、脆弱性が大きいほど、被害を受ける見込み、つまりリスクが大きくなる。したがってリスクの大きさは資産価値、脅威、脆弱性の三つによって決まり、リスクが他の三つを決めるのではない。

選択肢ごとの解説

• ア関係が逆である。脅威は、資産価値や脆弱性と組み合わさってリスクの大きさを決める要素の一つで、リスクから決まるものではない。
• イ資産価値は、情報の機密性や業務への影響の大きさなど、資産自体の重要度で決まる。脅威や脆弱性、リスクから導かれるものではない。
• ウ脆弱性は、システムや運用の側にある弱点の大きさで、資産価値や脅威によって決まるものではない。リスクを決める要素の一つである。
• エ正しい。リスクの大きさは、資産価値、脅威、脆弱性の三つの大きさを組み合わせて見積もる。