令和3年度秋期 システム監査技術者 午前Ⅱ 問20

用語を整理する確認視点

用語の意味をそのまま暗記するのではなく、問題文が示す目的や利用場面に注目し、説明がどの観点を中心に組み立てられているかを整理して、文脈に沿って読み取りましょう。

この問題で問われていること

各選択肢を見比べるときは、対象となる活動や管理の場面が何を説明しようとしているかという一点に絞り、用語の周辺知識を広げすぎず、文脈との対応を落ち着いて確認しましょう。

視点

用語を確認するときは、名称の印象や連想だけで判断せず、問題文に現れる目的・対象・場面の関係を丁寧に捉えます。説明がどの観点に重心を置くかを見て、学習中の定義や関連語との境界を整理することが大切です。

確認ポイント

• 問題文で示される目的と、説明の中心になっている対象が対応しているか確認する。
• 用語そのものの印象ではなく、記述が置かれている管理上の場面を確認する。
• 似た説明と混同しないよう、対象・目的・場面のうち今回の焦点を一つに保つ。

正解

エ

解説

JIS Q 27000:2019の用語定義では、脅威、脆弱性、リスク対応、リスク特定はそれぞれ異なる対象やプロセスを表します。各選択肢は用語と定義の組合せを確認する問題です。

理由

脅威は望ましくないインシデントの潜在的な原因、脆弱性は要因によって付け込まれる可能性がある弱点を指します。リスク対応はリスクへの対応を選択・実施する活動であり、リスク特定はリスクを発見、認識、記述するプロセスです。

比較

アとイは脅威と脆弱性の定義が入れ替わっている。ウはリスク分析の結果をリスク基準と比較して受容可否を判断するリスク評価の説明に近く、リスク対応の定義ではありません。エはリスク特定の定義と一致する。

選択肢ア

これは不正解だよ。脅威は、システム又は組織に損害を与える可能性がある望ましくないインシデントの潜在的な原因を指す。選択肢の説明は、要因によって付け込まれる可能性がある資産又は管理策の弱点であり、脆弱性の定義に該当するため、用語の対応が誤っている。

選択肢イ

これは不正解だよ。脆弱性は、資産又は管理策に存在し、一つ以上の要因によって付け込まれる可能性がある弱点を指す。一方、選択肢が述べる望ましくないインシデントの潜在的な原因は脅威の説明であり、脆弱性と脅威を取り違えている。

選択肢ウ

これは不正解だよ。リスクの大きさをリスク基準と比較し、受容可能か又は許容可能かを決定するプロセスは、リスク評価に関する説明である。リスク対応は、リスクを変更するための選択及び実施に関わるため、選択肢は用語の対応が適切ではない。

選択肢エ（正解）

これは正解だよ。リスク特定とは、リスクを発見し、認識し、記述するプロセスである。リスク源、事象、それらの原因及び起こり得る結果を特定することも含まれるため、選択肢の記述はJIS Q 27000:2019の用語定義と一致している。

学習のポイント

脅威・脆弱性・リスク対応・リスク特定の定義を混同しないこと。