情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和7年度春期 午前Ⅱ 問10: JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち，適切なものはどれか。

正解

エ. リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

正答率 71.9%（32人中 23人が正解）

問題の解説

JIS Q 27000の用語定義の正確な理解を問う問題。脅威は損害を与えうる望ましくない事象の潜在的原因、脆弱性は脅威に付け込まれる弱点、リスク評価はリスク基準との比較、リスク特定はリスクを発見・認識・記述する過程を指す。エがリスク特定の定義に合致し正解。実務では各用語を正しく区別することがリスクアセスメントの前提となる。

選択肢ごとの解説

• ア資産や管理策の弱点は脆弱性の定義であり、脅威の説明としては誤り。
• イ望ましくない事象の潜在的原因は脅威の定義であり、脆弱性の説明としては誤り。
• ウリスク基準と比較し受容可否を決めるのはリスク評価であり、リスク対応の説明として誤り。
• エリスクを発見・認識・記述しリスク源や事象を特定する、リスク特定の定義どおりで正解。