令和5年度秋期 情報処理安全確保支援士 午前Ⅱ 問11

リスク特定って、まずは“危なそうなもの探し”をすることだよ

リスク特定は、どこに危険のタネがあるのか、何が起きそうなのか、なぜ起きるのか、起きたらどんな影響が出るのかを洗い出して書き出すプロセスだよ。たとえば家の防犯を考えるときに、「窓の鍵が弱い」「空き巣に入られるかも」「現金やPCを盗まれるかも」と整理するイメージだね。脅威、脆弱性、リスク分析とは意味が違うので、そこを混同しないようにしよう。

この問題で問われていること

この問題では、情報セキュリティマネジメントの基本用語をきちんと区別できるかが問われているよ。特に、リスク特定は“リスクを見つけて整理する段階”であって、リスクの大きさを評価するリスク分析とは別物だと押さえよう。

リスク特定

リスク特定は、まだ評価や対応をする前に、何が起こり得るかを洗い出して記述する段階です。

リスク源\n事象\n原因\n結果\n-> 発見・認識・記述

確認ポイント

• 脅威は弱点のことではありません。
• 脆弱性は望ましくない事象の原因そのものではありません。
• 発見・認識・記述するプロセスを選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解として扱うよ。この文は「適切なものはどれか」という問題文の一部で、選択肢としての説明文になっていないんだ。たとえるなら、クイズの答え欄に「次の中から選びましょう」と書いてあるようなものなので、用語の正しい定義かどうかを判断できる選択肢ではないよ。

選択肢イ

これは不正解だよ。説明している内容は「脅威」ではなく「脆弱性」のこと。家でたとえると、泥棒そのものや泥棒が来る可能性が脅威で、鍵が壊れている・窓が開きっぱなしみたいな弱点が脆弱性だよ。弱点を脅威と呼んでしまっているので間違いだね。

選択肢ウ

これは不正解だよ。説明している内容は「脆弱性」ではなく「脅威」のこと。泥棒が入るかもしれない、火事が起きるかもしれない、という“悪い出来事の原因になり得るもの”が脅威。脆弱性は、鍵が弱い、窓が割れている、パスワードが簡単すぎる、みたいな付け込まれる弱点のことだよ。

選択肢エ（正解）

これは不正解だよ。説明しているのは「リスク対応」ではなく「リスク評価」に近い内容だよ。家の防犯でいうと、「この窓の壊れ具合は許せるレベルかな？」と判断するのがリスク評価。「鍵を交換する」「警備会社を入れる」「そのまま受け入れる」といった行動を決めて実施するのがリスク対応だよ。