令和7年度春期 情報処理安全確保支援士 午前Ⅱ 問10

「どんな危険（リスク）が、どこに潜んでいるか」をリストアップすること

セキュリティ管理（ISMS）における「リスク特定」は、どんな危険（リスク源や原因）があり、それが起きたらどんな最悪なことが起こるかを「見つけて、認識して、書き出す」最初の一歩のプロセスのことだよ。

この問題で問われていること

危険の大きさを計算する「リスク分析」や「リスク評価」に進む前の、「まずは何が危険かを洗い出してリストを作る段階」であることを押さえよう。

リスク特定

評価や対応の前に、何が起こり得るかを洗い出して記述する。

発見\n認識\n記述\n-> リスク特定

確認ポイント

• 脅威は弱点のことではありません。
• リスク対応やリスク分析の定義とも異なる。
• リスク特定の説明を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは「脅威」の説明ではないから間違いだよ。説明しているのは、泥棒そのものではなく、泥棒に狙われやすい壊れた鍵や開いた窓のような“弱点”だね。これは「脆弱性」の説明だよ。

選択肢イ

これは「脆弱性」の説明ではないから間違いだよ。書いてある内容は、泥棒や火事のような“悪いことを起こす原因”の説明で、これは「脅威」だよ。脆弱性は、鍵が壊れている、窓が開きっぱなしなど、付け込まれる弱点のことだよ。

選択肢ウ

これは「リスク対応」の説明ではないから間違いだよ。たとえるなら、火事の危険度を見て「このままで許せる？対策が必要？」と判定している段階で、まだ消火器を置くなどの対応はしていないよね。これは「リスク評価」の説明だよ。

選択肢エ（正解）

これは「リスク特定」の説明として正しいよ。家の防犯でいうと、「どの窓が危ない？」「合鍵をなくした？」「泥棒に入られたら何が困る？」を洗い出す作業だね。リスクを見つけて、原因や起きたときの結果まで整理するのがリスク特定だよ。