情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 科目A サンプル問題 問5: JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。

正解

イ. 結果とその起こりやすさの組合せとして表現される，リスクの大きさ

正答率 56.3%（32人中 18人が正解）

問題の解説

JIS Q 27000はリスクレベルを「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」と定義している。リスクは影響（結果）と発生可能性（起こりやすさ）の組合せで大きさが決まるため、これを表すイが正しい。

選択肢ごとの解説

• ア脅威に付け込まれ得る資産や管理策の弱点は『ぜい弱性』の定義であり、リスクレベルではない。
• イ結果と起こりやすさの組合せで表現されるリスクの大きさは、リスクレベルの定義そのもの。正しい。
• ウ対応すべきリスクの優先順位付けはリスク評価の結果であり、リスクレベルの定義ではない。
• エリスクの重大性を評価する目安となる条件は『リスク基準』の定義であり、リスクレベルとは異なる。