平成31年度春期 システム監査技術者 午前Ⅱ 問20

情報セキュリティリスクを考える視点

各記述を読むときは、起こり得る事象そのものと、それによって生じる影響、発生しやすさ、管理上の扱いを混同しないことが重要です。用語の印象だけで判断せず、記述が何を説明しているかを丁寧に見分けましょう。

この問題で問われていること

一つの観点に絞り、各選択肢が示している対象の範囲を確認してください。原因、状態、結果、対応などが同じ説明の中で混ざっていないかを読み取り、表現の中心がどこにあるかを比べると整理しやすくなります。

視点

記述の中心が、発生の可能性・影響・原因・対応のどれに置かれているかを、文全体の関係から整理する。

確認ポイント

• 記述が説明している対象を確認する
• 原因と結果が混同されていないか見る
• 文全体で中心となる観点を捉える

正解

エ

解説

適切なのはエです。リスク特定は、リスクを発見、認識及び記述するプロセスであり、リスク源、事象、原因、起こり得る結果の特定を含む。

理由

エは、リスク特定をリスクの発見、認識及び記述のプロセスとし、リスク源、事象、原因、結果の特定を含むとしている。これは設問のJIS Q 27000:2014における定義と一致する。

比較

アは脅威と脆弱性の説明を入れ替えており、イも脆弱性ではなく望ましくないインシデントの潜在的な原因を説明している。ウはリスク対応ではなく、リスク分析結果を基準と比較して受容可能性を判断するプロセスに当たる。

選択肢ア

これは不正解だよ。本文は「資産又は管理策の弱点」を説明しているが、これは脆弱性に関する内容である。脅威は、その弱点を悪用し、損害や望ましくない事象につながる可能性をもつ要因として捉えるため、選択肢は脅威と脆弱性の定義を取り違えている。

選択肢イ

これは不正解だよ。本文後半の「システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」は、脆弱性ではなく脅威を説明する表現である。脆弱性は、資産や管理策などに存在する弱点を指すため、用語の対応が誤っている。

選択肢ウ

これは不正解だよ。リスク分析の結果をリスク基準と比較し、リスクの大きさが受容可能又は許容可能かを決定する説明は、リスク評価に当たる。リスク対応は、評価したリスクについて、回避、低減、移転、保有などの対応を選択・実施する考え方であり、本文の定義とは異なる。

選択肢エ（正解）

これは正解だよ。リスク特定を、リスクを発見、認識及び記述するプロセスと説明しており、さらにリスク源、事象、それらの原因及び起こり得る結果の特定を含むとしている。設問で示されたJIS Q 27000:2014の定義に対応しているため、適切である。

学習のポイント

脅威・脆弱性・リスク対応・リスク特定の定義上の役割を正確に区別する。