情報処理安全確保支援士試験 令和5年度 秋期 午前II 問11

【正解】エ

リスク特定は、組織にどのようなリスクが存在するかを発見し、その内容を認識して記述するプロセスです。リスクを生じさせる要素であるリスク源、発生する可能性のある事象、その原因、発生した場合に起こり得る結果などを明らかにします。したがって、これらをリスク特定の内容としているエが適切です。

アの説明は誤りです。これは脅威ではなく、脆弱性の説明です。脆弱性とは、脅威によって悪用される可能性のある、資産や管理策の弱点を指します。

イの説明は誤りです。これは脆弱性ではなく、脅威の説明です。脅威とは、システムや組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因を指します。

ウの説明は誤りです。これはリスク対応ではなく、リスク評価の説明です。リスク評価では、リスク分析の結果をリスク基準と比較し、そのリスクが受容可能又は許容可能かを判断します。リスク対応は、リスクを修正するための選択肢を選び、実施するプロセスです。

【ポイント】 リスクアセスメントは、リスク特定、リスク分析、リスク評価の順に行います。 脅威は損害を生じさせる原因、脆弱性は付け込まれる弱点と区別して覚えましょう。