情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度春期 午前 問7: JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。

正解

イ. 結果とその起こりやすさの組合せとして表現される，リスクの大きさ

正答率 76.2%（101人中 77人が正解）

問題の解説

本問はJIS Q 27000:2014における「リスクレベル」の定義を問う。リスクレベルとは、リスクが顕在化したときの結果（影響の大きさ）とその起こりやすさ（発生可能性）の組合せで表されるリスクの大きさを指す。正解はイで、影響と頻度の両面からリスクの程度を表す概念である。

選択肢ごとの解説

• ア誤り。脅威に付け込まれる資産や管理策の弱点は「脆弱性（ぜいじゃくせい）」の定義である。
• イ正しい。結果と起こりやすさの組合せで表現されるリスクの大きさが「リスクレベル」の定義である。
• ウ誤り。対応すべきリスクに付ける優先順位は「リスクの優先順位付け」に関する概念であり、リスクレベルそのものの定義ではない。
• エ誤り。リスクの重大性を評価する目安とする条件は「リスク基準」の定義である。