情報セキュリティとは？ITパスポート試験 2018年 (平成30年 秋期) 問99を解説

問題文

この問題の出題ポイント

• 情報セキュリティの定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
• テクノロジ系分野では、用語の目的・主体・責任範囲の違いが選択肢で問われやすい。
• 関連タグ: 情報セキュリティ、リスクアセスメント、リスク評価、ISMS。

選択肢

1. アa正解
2. イa,b
3. ウb
4. エc

解説

なぜ他の選択肢が違うのか

• ア（正解）

  正解。a（あらかじめ定めた基準によって分析したリスクの優先順位付けを行う）がリスクの評価活動の中核である。ISO/IEC 27001のリスクアセスメントプロセスでは、リスク評価とは分析されたリスクを受容基準と比較し、リスク対応の優先度や要否を判断する活動と定義されており、aはこれに該当する。

• イ

  誤り。「a,b」という組合せだが、bはリスク評価ではなくリスクの特定（risk identification）の活動である。情報資産のリスク洗い出し・脅威と脆弱性の識別はリスクの特定段階に属し、評価段階よりも前に実施される。評価はすでに特定・分析済みのリスクに対して優先度を付ける活動であるためbは含まれない。

• ウ

  誤り。bのみを選択しているが、bはリスクの特定（保護すべき情報資産のリスクを洗い出す）に該当し、リスク評価ではない。リスクの三段階（特定・分析・評価）のうち最初のステップであるリスクの特定に分類されるため、「リスクの評価で行うもの」としては誤りである。

• エ

  誤り。cは「リスクが顕在化したときに対応を実施するかどうかを判断するための基準を定める」活動であるが、これはリスク評価の前提となる基準設定（受容基準の策定）であり評価活動そのものではない。基準策定はリスクアセスメント実施前の準備段階に当たり、評価プロセスの一部として実施するものではない。

解き方の整理

情報セキュリティの問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。

関連用語

• リスクアセスメントセキュリティ

関連問題

前後の問題

2018年 (平成30年 秋期) の関連する問題

2018年 (平成30年 秋期)の問題一覧 ITパスポート試験の解説一覧