情報セキュリティマネジメント 平成31年度 春期 午前 問6
情報資産管理とリスクアセスメント・リスク対応
リスクレベルに関する問題
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。
- ア 脅威によって付け込まれる可能性のある，資産又は管理策の弱点
- イ 結果とその起こりやすさの組合せとして表現される，リスクの大きさ
- ウ 対応すべきリスクに付与する優先順位
- エ リスクの重大性を評価するために目安とする条件
答えと解説
✓ これが正解イ 結果とその起こりやすさの組合せとして表現される，リスクの大きさ
解説
結果と起こりやすさを組み合わせたリスクの大きさです。
規格はリスクレベルを「結果とその起こりやすさの組合せとして表現される，リスクの大きさ」と定めています。リスクの大きさは、起きたらどれだけ困るか（結果）と、どれくらい起きやすいか（起こりやすさ）の二つを組み合わせて表します。片方だけでは決まりません。めったに起きないが起きたら致命的なもの、しょっちゅう起きるが軽くすむもの。どちらの大きさを語るにも、両方の軸が必要です。
ほかの選択肢の解説
- ア 脅威によって付け込まれる可能性のある，資産又は管理策の弱点：これは脆弱性、つまり弱点そのものを述べた文です。付け込まれる隙があることと、リスクがどれくらい大きいかは別の話で、弱点の有無だけでは大きさは決まりません。
- ウ 対応すべきリスクに付与する優先順位：対応の優先順位は、大きさを測ったあとに人が決めるものです。測った結果を使って順番を付ける行為であって、大きさそのものを表す言葉ではありません。
- エ リスクの重大性を評価するために目安とする条件：これはリスク基準にあたります。測った大きさを重大とみなすかどうかを判断するために、あらかじめ決めておく物差しです。物差しと、それで測った値とは別のものです。
関連用語
- リスクレベル結果の大きさと、その起こりやすさを組み合わせて表したリスクの大きさ。
- リスク
基準 どこまでの危険なら受け入れるかを、あらかじめ決めておく物差し。 - 脆弱性OSやソフトに残っている、攻撃の足掛かりになりうる弱点のこと。
- 情報
セキュリティマネジメントシステム 組織の情報セキュリティを仕組みとして運用する枠組みのこと。 - 脅威情報資産に害を及ぼしうる出来事や行為のもと。
- 管理策危険を減らすために実際に行う手立て。
- 組合せいくつかの中から、向きや順を区別せずに何個かを選ぶ選び方の数です。
現在との違い
設問が示す JIS Q 27000:2014 は2019年版に置き換わっていますが、正解の定義文は現行版でも同文です。正解は変わりません。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問6
解説は当サイト独自のもので、IPA（独立行政法人情報処理推進機構）とは関係ありません。
同じ問題: 基本情報技術者試験 平成31年度 春期 午前 問41
同じ内容が出た回
この問題は 基本情報技術者試験 平成31年度 春期 午前 問41 にも出ています。ほぼ同じ問題が 応用情報技術者試験 令和4年度 春期 午前 問43 に出ています。
関連問題
- 令和7年度 科目A 問6：
CVSSに 関する 問題 （脅威） - 令和5年度 科目A 問1：
情報 セキュリティ 管理基準の 問題 （情報 セキュリティマネジメントシステム） - 平成30年度 秋期 午前 問7：
リスク 分析の 定義 （リスクレベル） - 平成30年度 春期 午前 問3：
リスク 評価についての 説明 （リスク 基準） - 平成30年度 春期 午前 問2：
リスク 対応に 関する 問題 （リスクレベル）
同じ分野の問題
誤りを見つけたら報告する