平成21年度春期 システム監査技術者 午前Ⅱ 問21

リスク評価の視点を整える

情報システムのリスクを考えるときは、起こりやすさだけ、または被害の大きさだけに偏らず、両者を同じ前提で見比べる視点を持つことが大切です。評価対象や条件を揃えて考えましょう。

この問題で問われていること

選択肢を読む際は、個別の対策名や用語の印象ではなく、想定される事象が起きた場合の影響と、その可能性をどのような基準で捉えているかに注目しましょう。前提条件の一致も確認します。

視点

リスクを比較するときは、評価対象、前提条件、判断に使う観点が揃っているかを整理し、印象ではなく同じ基準で考えられるかを確認します。

確認ポイント

• 評価対象と前提条件が揃っているか確認する
• 発生の可能性と影響の大きさを分けて捉える
• 複数の観点を同じ基準で比較できるか確認する

正解

ウ

解説

情報システムのリスク分析は、損失をもたらす可能性のあるリスクがシステムのどこにどのように潜在しているかを識別し、その影響の大きさを測定する活動です。したがって、適切なのはウです。

理由

リスク分析では、情報システムに存在するリスクの発生可能性や潜在箇所、発生した場合の影響を調べる。単に損害発生後の費用を合計したり、1回当たりの損失額だけを示したりする活動ではありません。

比較

情報セキュリティで主に扱うのは、損失だけでなく利益も生じ得る投機的リスクではなく、損失をもたらす純粋リスクです。予想損失額やリスク評価額も、設問の定義と一致するかを確認する必要がある。

選択肢ア

これは不正解だよ。リスクには投機的リスクと純粋リスクがあるという前半は適切だが、情報セキュリティのためのリスク分析で対象とするのは投機的リスクであるという後半が誤りである。情報セキュリティでは、損失をもたらす純粋リスクを対象とする。

選択肢イ

これは不正解だよ。損害予防コスト、復旧コスト、代替コストの合計は、リスクが現実化した場合の損失や対応費用を考える際の要素である。しかし、それらの合計をリスクの予想損失額とする説明は、リスク分析における定義と一致しない。

選択肢ウ（正解）

これは正解だよ。リスク分析は、現実に発生すれば損失をもたらすリスクが、情報システムのどこにどのように潜在しているかを識別し、発生した場合の影響の大きさを測定する。設問はこの目的を正しく説明している。

選択肢エ

これは不正解だよ。損害が現実化した場合の1回当たりの平均予想損失額だけでは、リスクを金額で測定する評価額の説明として不十分である。リスク評価では、損失の大きさだけでなく、発生可能性なども考慮して評価する。

学習のポイント

リスクの分類、予想損失額、リスク評価額、リスク分析の目的を区別して理解する。