平成28年度春期 情報処理安全確保支援士 午前Ⅱ 問11

午前II 問11：ISMSの用語を“事故が起きる前の点検”として整理しよう

この問題では、脅威・脆弱性・リスク対応・リスク特定の意味をきちんと見分けることが大事だよ。たとえば家の防犯で考えると、泥棒そのものが「脅威」、鍵が壊れている状態が「脆弱性」、鍵を交換するなどの対策が「リスク対応」。そして「どんな危ないことがありそうかを見つけて、分かる形で書き出す作業」が「リスク特定」だよ。

この問題で問われていること

ISMSの用語を雰囲気で選ばず、それぞれの定義を正確に区別できるかが問われているよ。特に、リスク特定は“対策すること”ではなく、“リスクを発見・認識・記述する工程”だと押さえよう。

Risk Identification Definition

in JIS Q 27000、 risk identification is the process of finding、 recognizing、 and describing risks including sources、 events、 causes、 and consequences

find risks\nrecognize risks\ndescribe sources、 causes、 events、 consequences\nnot risk treatment or vulnerability

確認ポイント

• 定義問題として丁寧に区別する。
• 脅威と脆弱性を入れ替えない。
• リスク特定の文言を押さえる。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。説明しているのは「脅威」ではなく「脆弱性」のことだね。たとえば、窓の鍵が壊れていることが脆弱性で、それを悪用して入ってくる泥棒が脅威だよ。脅威は『悪いことを起こす可能性のある原因や存在』であって、資産や対策の弱点そのものではないんだ。

選択肢イ

これは不正解だよ。説明しているのは「脆弱性」ではなく「脅威」のことだよ。たとえば、泥棒が家に入ろうとすることが脅威で、開けっぱなしの窓や壊れた鍵が脆弱性だね。この選択肢は『損害を与える可能性がある潜在的な原因』と言っているので、弱点ではなく脅威の説明になっているんだ。

選択肢ウ

これは不正解だよ。説明しているのは「リスク対応」ではなく「リスク評価」のことなんだ。たとえば家の防犯で、『この窓の鍵の弱さは許せるレベルかな？』と基準と比べて判断する段階だね。リスク対応はその後に、『鍵を交換しよう』『警備会社を入れよう』『このまま受け入れよう』のように、実際にどう対処するかを決めることだよ。

選択肢エ（正解）

これは正解だよ。リスク特定は、危なそうなことを見つけて、名前を付けて、内容を整理する作業なんだ。たとえば家の防犯チェックで、『裏口の鍵が古い』『窓から侵入されるかも』『盗難が起きると現金やPCを失う』のように、原因・出来事・結果を洗い出すイメージだよ。