情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度秋期 午前Ⅱ 問11: JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち，適切なものはどれか。

正解

エ. リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

正答率 25.0%（4人中 1人が正解）

問題の解説

JIS Q 27000の用語定義では、リスク特定は「リスクを発見・認識・記述するプロセス」であり、リスク源・事象・原因・結果の特定を含む。よってエが正解。脅威と脆弱性、リスク評価とリスク対応など用語が入れ替えられた選択肢に注意が必要。実務ではこれら用語を正確に使い分けることが、リスクアセスメントの一貫した実施基盤となる。

選択肢ごとの解説

• ア資産や管理策の弱点は脆弱性の定義であり、脅威の説明としては誤り。
• イ望ましくないインシデントの潜在的原因は脅威の定義で、脆弱性ではない。
• ウリスク基準と比較し受容可否を決めるのはリスク評価で、リスク対応ではない。
• エリスクを発見・認識・記述しリスク源等を特定する、リスク特定の定義そのもの。