リスクレベルの定義は何を表すものか
基本情報技術者試験 平成31年度春期 午前 問41 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JIS Q27000:2014（情報セキュリティマネジメントシステムー用語）における“リスクレベル”の定義はどれか。
- ア
脅威によって付け込まれる可能性のある，資産又は管理策の弱点
- イ
結果とその起こりやすさの組合せとして表現される，リスクの大きさ
- ウ
対応すべきリスクに付与する優先順位
- エ
リスクの重大性を評価するために目安とする条件
会話形式の解説
講師この問題では、リスクレベルが何を表す用語なのかを確かめましょう。弱点や評価の目安との違いがポイントです。
受験者私は、脅威に付け込まれる弱点もリスクの大きさを左右しそうなので、迷いました。
講師弱点を述べた選択肢の中心は何でしょうか。資産や管理策の弱点は脆弱性の説明で、リスクの大きさそのものの定義ではありません。
受験者では、結果とその起こりやすさを組み合わせたものなら、リスクの大きさを表していますか。
講師はい。それがリスクレベルの定義に一致するので、正解です。
受験者対応する優先順位も、大きなリスクを考えるときに関係しそうです。そこはどう区別しますか。
講師優先順位は対応すべき順番です。この選択肢は、リスクがどれほど大きいかという用語自体の定義を述べていません。
受験者重大性を評価するための条件も、リスクレベルとは別なのですね。
講師はい。評価の目安となる条件はリスク基準です。評価されるリスクの大きさと、その評価に使う目安を分けて考えます。
受験者弱点は脆弱性、対応する順番は優先順位、評価の目安はリスク基準です。リスクレベルは、結果と起こりやすさの組合せで表す大きさですね。
講師その整理で合っています。定義を問われたら、選択肢が対象そのものを表すのか、対象を評価するための条件を表すのかを確認しましょう。
まとめ
リスクレベルは、結果とその起こりやすさの組合せとして表されるリスクの大きさです。資産や管理策の弱点は脆弱性、対応すべき順番は優先順位を述べています。重大性を評価するための目安となる条件はリスク基準です。用語の定義を選ぶ際は、評価される対象と評価に使う目安を区別します。
解答・解説
正解はイです
この問題のテーマ
JIS Q27000:2014における「リスクレベル」の定義を問う問題です。
解き方の考え方
各選択肢が、リスクの大きさ、弱点、対応の優先順位、評価の目安のどれを述べているか見分けます。リスクレベルに当たるのは、結果と起こりやすさを組み合わせて表すリスクの大きさです。
選択肢ごとの解説
- ×ア 脅威によって付け込まれる可能性のある，資産又は管理策の弱点資産や管理策の「弱点」を述べています。これは脆弱性の説明であり、リスクの大きさを表すリスクレベルの定義には当たりません。
- ○イ 結果とその起こりやすさの組合せとして表現される，リスクの大きさ結果とその起こりやすさを組み合わせ、リスクがどれほど大きいかを表しています。これはリスクレベルの定義に一致するため、正解です。
- ×ウ 対応すべきリスクに付与する優先順位対応すべき順番を述べています。優先順位は対応を考えるためのものですが、リスクレベルという用語自体の定義ではありません。
- ×エ リスクの重大性を評価するために目安とする条件重大性を評価するときの目安となる条件を述べています。これはリスク基準に当たり、評価されるリスクの大きさとは異なります。
POINT
- 用語の定義を問われたら、対象そのものと、それを評価するための条件を分けて読みます。
- 「弱点」という語が中心なら、脆弱性を指す説明か確認します。
- 「優先順位」という語が中心なら、リスクの大きさそのものを定義しているか確認します。