平成21年度秋期 ITサービスマネージャ 午前Ⅰ 問15

リスク評価を考える一つの視点

リスク評価手法を比べるときは、対象・前提・評価の尺度がそろっているかを確認し、手法名の印象ではなく、何を判断するための枠組みかという観点で丁寧に整理しましょう。

この問題で問われていること

この問題では、各手法を細かな定義で暗記するより、評価の対象と判断のよりどころがどのように置かれているかに注目し、同じ基準で比較できるかを確かめることに集中してください。

視点

手法を整理するときは、まず評価対象、想定する条件、判断に使う尺度の三つを切り分けます。そのうえで、どの情報を入力として扱い、結果を誰の意思決定に役立てる構成かを見比べると、表面的な用語に引きずられにくくなります。

確認ポイント

• 評価対象が何かを確認する
• 前提条件の置き方を比べる
• 判断の尺度がそろっているかを見る

正解

エ

解説

JIS Q 2001:2001の定量的なリスク評価では、リスクを被害の起こりやすさと、起きた場合の影響の大きさで捉える。対策の優先順位付けには、この二つの観点を数値的に評価する考え方を適用する。

理由

リスクの定量的評価では、望ましくない事象が発生する確率と、発生した場合に生じる被害の大きさを評価する。両者を用いることで、異なるリスクを比較し、セキュリティ対策の優先度を検討できる。

比較

過去の被害件数や攻撃手法の新しさなどは、リスクを判断する補助情報にはなり得るが、定量的評価の基本となる発生可能性と影響の大きさそのものではありません。対処時間や顕在性、対策難易度も同様に評価軸が異なる。

選択肢ア

これは不正解だよ。過去に発生した被害件数は過去実績であり、将来のリスクの発生可能性そのものを表すとは限らない。また、対策の難易度は対策実施上の条件であって、被害が生じた場合の影響の大きさではない。定量的評価の基本軸と一致しない。

選択肢イ

これは不正解だよ。攻撃に対する対処時間は対応の速さに関する指標であり、被害が起こる可能性を直接表さない。被害の顕在性も、被害が見えているかどうかの性質であり、発生時の影響の大きさを数量化する評価軸とは異なる。

選択肢ウ

これは不正解だよ。攻撃元を特定できるかどうかや、攻撃手法が新しいかどうかは、攻撃者や手法の特徴に関する情報である。これらだけでは、被害が発生する可能性と、発生した場合の影響の大きさを定量的に示せない。

選択肢エ（正解）

これは正解だよ。定量的なリスク評価では、望ましくない事象が発生する確率と、発生したときに生じる被害の大きさを組み合わせてリスクを捉える。被害額は影響を具体的に数量化する尺度であり、確率と併せて対策の優先度を比較できる。

学習のポイント

発生可能性と影響度を用いて対策の優先度を判断する基本