平成23年度秋期 情報処理安全確保支援士 午前Ⅱ 問25

洗い出したセキュリティリスクに対して、「鍵をかける」「保険に入る」など具体的な対策を決めるプロセス（リスク対応）

セキュリティマネジメント（ISMS）におけるリスクアセスメントの工程問題だよ。1. システムにどんな危険があるかをリストアップする（リスク特定）2. その危険が起きる確率や被害の大きさを数値化する（リスク分析・評価）3. その評価結果に基づいて、「このリスクにはこのパスワード強化をする」「このリスクは外注して避ける」といった具体的な対処プラン（対策）を決定する（リスク対応）。この3番目のステップについて問われているよ。

この問題で問われていること

リスクの分析・評価そのものではなく、「評価したリスク基準に基づいて、リスクの低減、移転、回避、保有といった具体的なセキュリティ対策の選択肢を選定し、適用するプロセス（リスク対応）」の段階を識別しよう。

ISMS の流れ

ISMS では、まず方針を定め、資産や脅威からリスクを洗い出して評価し、許容できないリスクに対するセーフガードを選びます。詳細リスク分析は、その対策選定につながる粒度で行います。

方針策定 -> リスク分析/評価 -> セーフガード選択 -> 実装/運用

確認ポイント

• ポリシ作成は分析結果の前段です。
• リスク容認は評価後の意思決定であり、分析そのものではありません。
• 詳細分析という言葉から、具体的な対策候補の選択を思い出しましょう。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

情報セキュリティポリシの作成は不正解だよ。ポリシは『家族みんなで鍵を閉めよう』『合鍵は勝手に渡さない』のような全体ルール作りのこと。詳細リスク分析は、そのルール作りではなく、どの情報にどんな危険があるかを細かく調べて評価する作業だよ。

選択肢イ

セーフガードの選択は不正解だよ。セーフガードは、鍵を増やす、防犯カメラを付ける、窓に補助錠を付ける、みたいな具体的な対策のこと。これは危険度を調べた後に『じゃあ何で守る？』と決める作業なので、詳細リスク分析そのものではないよ。

選択肢ウ（正解）

リスクの評価が正解だよ。詳細リスク分析は、守るべき情報という『大事な持ち物』を洗い出して、泥棒に狙われやすいか、鍵が弱くないか、盗まれたらどれくらい困るかを細かく見て、危険の大きさを判断する作業なんだ。だから『リスクを評価する』がぴったりだよ。

選択肢エ

リスクの容認は不正解だよ。これは『このくらいの危険なら受け入れよう』と決める作業で、家でいうと『小さな物置の鍵は今のままでいいや』と判断する感じ。詳細リスク分析は、まず泥棒に入られやすい場所や被害の大きさを調べて危険度を見積もる段階なので、容認はその後の対応の話だよ。