リスクアセスメントの分析と評価を見分ける
ITパスポート試験 令和4年度 問86 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティにおけるリスクアセスメントを，リスク特定，リスク分析，リスク評価の三つのプロセスに分けたとき，リスク分析に関する記述として，最も適切なものはどれか。
- ア
受容基準と比較できるように，各リスクのレベルを決定する必要がある。
- イ
全ての情報資産を分析の対象にする必要がある。
- ウ
特定した全てのリスクについて，同じ分析技法を用いる必要がある。
- エ
リスクが受容可能かどうかを決定する必要がある。
会話形式の解説
講師この問題では、リスクのレベルを決める作業と、受容可能かを判断する作業を区別しましょう。
受験者どちらもリスクを判断しているように見えます。どの段階が違うのでしょうか。
講師リスクアセスメントには、リスクを見いだす特定、各リスクのレベルを定める分析、分析結果を基準と照合する評価があります。
受験者受容基準と比べられるように、各リスクのレベルを決めるのが分析なのですね。
講師そのとおりです。したがって、リスクのレベルを決定するという記述が適切です。
受験者全ての情報資産を分析対象にするという記述は、範囲を決めつけているのでしょうか。
講師はい。全ての情報資産を必ず対象にするという条件はありません。
受験者特定したリスクには、同じ分析技法を使わなければならないのでしょうか。
講師その必要もありません。リスクごとに異なる技法を使えます。
受験者では、受容可能かどうかを決めるという記述は、分析ではなく評価ですね。
講師そうです。分析で定めたレベルを基準と照合し、受容可能かを判断するのが評価です。
受験者分析はレベルを定め、評価はその結果を基準と比べる、と整理できます。
講師「レベルを決める」と「受容可能かを決める」は似ていますが、段階が違います。この区別を手掛かりにしましょう。
まとめ
リスクアセスメントは、リスク特定・リスク分析・リスク評価から成ります。リスク分析では、受容基準と比較できるように各リスクのレベルを定めます。受容可能かどうかの判断は、分析結果を基準と照合するリスク評価の役割です。全ての情報資産を対象にすることや、全てのリスクに同じ分析技法を使うことは必須ではありません。
解答・解説
正解はアです
この問題のテーマ
情報セキュリティのリスクアセスメントで、リスク分析とリスク評価がそれぞれ何をするかを問う問題です。
解き方の考え方
まず、リスクを見いだす「特定」、各リスクのレベルを定める「分析」、分析結果を基準と照合する「評価」を区別します。設問は分析について尋ねているので、受容可能かを判断する前の作業を選びます。
選択肢ごとの解説
- ○ア 受容基準と比較できるように，各リスクのレベルを決定する必要がある。受容基準と比較するために各リスクのレベルを定める、という説明です。レベルを決めるのはリスク分析の役割なので、これが正解です。
- ×イ 全ての情報資産を分析の対象にする必要がある。全ての情報資産を必ず分析対象にする、という条件はありません。「全て」と決めつけている点が不適切です。
- ×ウ 特定した全てのリスクについて，同じ分析技法を用いる必要がある。特定したリスクの分析に、必ず同じ技法を使う必要はありません。リスクごとに異なる技法を使えるため、この説明は不適切です。
- ×エ リスクが受容可能かどうかを決定する必要がある。リスクが受容可能かを決めるのは、分析の後に行うリスク評価の役割です。リスク分析では、その判断に使うリスクのレベルを定めます。
補足
「レベルを決める」と「受容可能かを決める」は似ていますが、段階が異なります。前者が分析、後者が評価です。
POINT
- リスクアセスメントは、リスク特定・リスク分析・リスク評価から成ります。
- リスク特定では、どのようなリスクがあるかを見いだします。
- リスク分析では、各リスクのレベルを定めます。
- リスク評価では、分析結果を基準と照合します。