情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成29年度秋期 午前Ⅱ 問12: JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する記述のうち，適切なものはどれか。

正解

エ. リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

正答率 0.0%（1人中 0人が正解）

問題の解説

JIS Q 27000の用語では、リスク特定は「リスクを発見・認識・記述するプロセス」であり、リスク源・事象・原因・起こり得る結果の洗い出しを含む。リスクアセスメントの最初の段階に当たる。よってエが正しい。脅威・脆弱性・リスク対応の定義が入れ替えられた他選択肢が誤り。実務ではこの段階で資産・脅威・脆弱性を漏れなく把握できるかが、後続の分析と対応の質を左右する。

選択肢ごとの解説

• ア資産や管理策の弱点で要因に悪用されうるものは脆弱性の定義であり、脅威の説明としては誤り。
• イ望ましくないインシデントの潜在的原因は脅威の定義で、脆弱性の説明ではなく誤り。
• ウリスク分析結果を基準と比較し受容可否を決めるのはリスク評価で、リスク対応ではなく誤り。
• エリスクを発見・認識・記述しリスク源や結果を特定するリスク特定の定義どおりで正解。