情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成28年度春期 午前Ⅱ 問11: JIS Q 27000 における情報セキュリティリスクに関する定義のうち，適切なものはどれか。

正解

エ. リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

問題の解説

JIS Q 27000では各用語が明確に定義される。リスク特定はリスクを発見・認識・記述するプロセスで、リスク源・事象・原因・結果の特定を含む。一方、脆弱性は資産や管理策の弱点、脅威は損害を与え得る潜在的原因であり、エの2語の説明は脆弱性と脅威が入れ替わっている。リスク評価はリスク基準との比較で、リスク対応とは別概念。実務ではこれら用語を正確に使い分けることがISMS運用の前提となる。

選択肢ごとの解説

• ア資産や管理策の弱点は脆弱性の定義であり、脅威の説明としては誤り。
• イ損害を与え得る潜在的原因は脅威の定義であり、脆弱性の説明としては誤り。
• ウリスク分析結果を基準と比較するのはリスク評価であり、リスク対応の説明としては誤り。
• エリスクを発見・認識・記述しリスク源や事象等を特定するというリスク特定の定義どおりで正しい。