平成29年度秋期 情報処理安全確保支援士 午前Ⅱ 問12

リスク特定は「どこに危なさがあるか」を見つける作業だよ

JIS Q 27000でいうリスク特定は、リスクを見つけて、気づいて、説明できる形にするプロセスだよ。たとえば家の防犯を考えるなら、「窓の鍵が壊れている」「人通りが少ない」「空き巣に入られるかもしれない」「盗難が起きるかもしれない」といった、リスクのもと、起こりそうな出来事、その原因、起きたときの結果を洗い出すイメージだよ。

この問題で問われていること

この問題では、脅威、脆弱性、リスク評価、リスク対応といった似た用語を混同しないことがポイントだよ。リスク特定は、まず危なそうなものを発見して整理する段階だと押さえよう。

リスク特定の定義

脅威は望ましくないインシデントの潜在的原因、脆弱性は弱点です。設問はリスク特定の定義を問うている。

リスク源 / 事象 / 原因 / 結果を特定\n-> リスク特定

確認ポイント

• 脅威と脆弱性の定義を逆にしない。
• リスク対応とリスク評価の定義も別です。
• 発見・認識・記述するプロセスを選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。この説明は「脅威」ではなく「脆弱性」の説明だよ。脅威は泥棒のように害を起こす可能性があるもの。説明文の「悪用される可能性がある弱点」は、例えば壊れた鍵や開けっぱなしの窓のことなので、脅威ではなく脆弱性だよ。

選択肢イ

これは間違いだよ。この説明は「脆弱性」ではなく「脅威」の説明に近いんだ。脆弱性は「窓の鍵が壊れている」みたいな弱点のこと。ここで書かれている「損害を与える可能性がある原因」は、泥棒や火事のような“悪いことを起こすきっかけ”なので脅威だよ。

選択肢ウ

これは間違いだよ。この説明は「リスク対応」ではなく「リスク評価」の説明だよ。リスク対応は、危ない窓に鍵を付ける、警備を頼む、あえて受け入れる、みたいに対策を選んで実行すること。ここでは「基準と比べて受け入れられるか判断する」と言っているので、対応ではなく評価なんだ。

選択肢エ（正解）

これは正解だよ。リスク特定は、家の防犯でいうと「どこから泥棒が入りそうか」「窓の鍵が甘いのか」「合鍵がなくなっているのか」を見つけて、何が起きそうかまで書き出す作業なんだ。説明どおり、リスク源や事象、原因、起こり得る結果を洗い出すプロセスだよ。