平成21年度春期 情報処理安全確保支援士 午前Ⅱ 問8

「どんな悪いことが、どれくらいの確率と被害で起こるか」を評価する

リスク分析は、会社のシステムやデータにどんな弱点（脆弱性）や危険（脅威）があるかを洗い出し、もしそれが現実になったら「どれくらいひどい被害（影響度）が出るか」「どれくらいの確率（発生可能性）で起こるか」を推し量って数値化・評価することだよ。

この問題で問われていること

「リスク対策を実行する」前段階として、「脅威と脆弱性を掛け合わせて、リスクの大きさを測って評価する」という作業内容を頭に置こう。

リスク分析の基本

資産、脅威、脆弱性の関係を洗い出し、発生時の業務影響や損失を見積もります。これがリスク分析の基本的な流れです。

リスクの識別\n影響の評価\n発生可能性の把握

確認ポイント

• 情報セキュリティで主に扱うのは投機的リスクではなく純粋リスク寄りです。
• 予想損失額の説明だけでリスク分析全体は表せません。
• 潜在リスクの識別と影響測定を述べる選択肢を選びます。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。投機的リスクは『株を買ったら得するかもしれないし損するかもしれない』のように、プラスもマイナスもあるリスクだよ。情報セキュリティで主に見るのは、情報漏えいや停止のように損失だけを生む純粋リスクなんだ。

選択肢イ

これは不正解だよ。リスクの予想損失額は、『泥棒に入られたらいくら損するか』に『どれくらい起こりそうか』も考えて見積もるものだよ。防犯カメラ代や、壊れた後の修理代、代わりの店を借りる費用を全部足したもの、という説明ではないんだ。

選択肢ウ（正解）

これは正解だよ。リスク分析は、『家のどの窓が開きやすいか』『合鍵を誰が持っているか』『泥棒に入られたらどれくらい困るか』を調べる作業に近いよ。情報システムのどこに危ない点があり、起きたらどれくらい影響があるかを見つけて測る、という説明は正しいんだ。

選択肢エ

これは不正解だよ。1回起きたときの平均損失額だけだと、『その事故がどれくらい起きやすいか』が抜けているよ。たとえば窓ガラスが割れる損害が10万円でも、毎月起きるのか10年に1回なのかでリスクの大きさは全然違うよね。