情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 科目A サンプル問題 問5: JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。

問題本文

JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。

選択肢

• ア.脅威によって付け込まれる可能性のある，資産又は管理策の弱点
• イ.結果とその起こりやすさの組合せとして表現される，リスクの大きさ
• ウ.対応すべきリスクに付与する優先順位
• エ.リスクの重大性を評価するために目安とする条件

正解

イ. 結果とその起こりやすさの組合せとして表現される，リスクの大きさ

解説

JIS Q 27000はリスクレベルを「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」と定義している。リスクは影響（結果）と発生可能性（起こりやすさ）の組合せで大きさが決まるため、これを表すイが正しい。

選択肢ごとの解説

• ア.脅威に付け込まれ得る資産や管理策の弱点は『ぜい弱性』の定義であり、リスクレベルではない。
• イ.結果と起こりやすさの組合せで表現されるリスクの大きさは、リスクレベルの定義そのもの。正しい。
• ウ.対応すべきリスクの優先順位付けはリスク評価の結果であり、リスクレベルの定義ではない。
• エ.リスクの重大性を評価する目安となる条件は『リスク基準』の定義であり、リスクレベルとは異なる。