リスクレベルの定義を脆弱性・リスク基準と区別して覚える
情報セキュリティマネジメント試験 平成31年度春期 午前 問6 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JIS Q 27000:2014(情報セキュリティマネジメントシステムー用語)における“リスクレベル”の定義はどれか。
- ア
脅威によって付け込まれる可能性のある，資産又は管理策の弱点
- イ
結果とその起こりやすさの組合せとして表現される，リスクの大きさ
- ウ
対応すべきリスクに付与する優先順位
- エ
リスクの重大性を評価するために目安とする条件
会話形式の解説
講師今回は、JIS Q 27000という用語の規格で「リスクレベル」がどう定義されているかを問う問題です。選択肢には、ほかの用語の定義も混ざっています。どの選択肢が何の用語の説明なのかを見分けるのがポイントです。
受験者リスクレベルというと、リスクの高い・低いを表すものだと思います。ただ、優先順位の選択肢も、重大性を評価する条件の選択肢も、それらしく見えて迷います。
講師迷いやすいところですね。まず、リスクの大きさは何で決まるかを考えてみましょう。被害の大きさだけで決まると思いますか。
受験者被害が大きくても、めったに起きないならそれほど大きなリスクではない気がします。発生のしやすさも関係しそうです。
講師そのとおりです。リスクレベルは、結果、つまり被害の大きさと、その起こりやすさの組合せとして表現されるリスクの大きさと定義されています。両方に触れているのは「結果とその起こりやすさの組合せ」の選択肢だけなので、これが正解です。
受験者では、脅威に付け込まれる資産や管理策の弱点という選択肢は何の定義ですか。
講師それは「脆弱性」の定義です。脆弱性はリスクを生む要因の一つで、リスクの大きさそのものではありません。
受験者重大性を評価するための目安となる条件という選択肢は、リスクレベルとかなり近く感じました。
講師それは「リスク基準」の定義です。リスク基準は、求めたリスクレベルと照らし合わせるための物差しです。大きさそのものと、それを比べる物差しという違いがあります。
受験者対応すべきリスクに優先順位を付けるという選択肢も、別の用語の定義なのでしょうか。
講師この説明に当てはまる用語定義は、JIS Q 27000には見当たりません。優先順位は、リスクレベルなどの評価結果をもとに決めるものです。リスクレベルの定義そのものではありません。
受験者整理すると、リスク分析でリスクレベルを求め、それをリスク基準と比べて評価し、その結果から優先順位を決める、という流れですね。
講師よく整理できています。補足すると、リスクレベルは必ずしも数値の掛け算で求めるわけではなく、高・中・低のような定性的な表現で示すこともあります。また、この規格は出題後に2019年版へ改正されています。定義の趣旨は大きく変わっていないとされますが、引用するときは最新版で確認してください。
まとめ
JIS Q 27000では、リスクレベルを「結果とその起こりやすさの組合せとして表現されるリスクの大きさ」と定義しています。脅威に付け込まれる可能性のある弱点は「脆弱性」、リスクの重大性を評価するための目安となる条件は「リスク基準」の定義です。リスクレベルは「求めた大きさ」、リスク基準は「比べるための物差し」と区別して覚えると混同しにくくなります。リスクへの対応の優先順位は評価結果をもとに決めるもので、リスクレベルの定義ではありません。
解答・解説
正解はイです
この問題のテーマ
JIS Q 27000:2014で「リスクレベル」がどう定義されているかを問う問題です。脆弱性やリスク基準など、似た用語と区別できるかも試されます。
解き方の考え方
まず、リスクの「大きさ」は被害の大きさと発生の起こりやすさの二つで決まる、という考え方を思い出します。そのうえで各選択肢が何という用語の定義かを考えると、ほかの選択肢は別の用語の説明だとわかります。結果と起こりやすさの組合せに触れているのはイだけなので、イを選びます。
選択肢ごとの解説
- ×ア 脅威によって付け込まれる可能性のある，資産又は管理策の弱点脅威に付け込まれる可能性がある資産や管理策の弱点という説明は、「脆弱性」の定義です。脆弱性はリスクを生む要因の一つで、リスクの大きさを表すリスクレベルとは別の概念です。
- ○イ 結果とその起こりやすさの組合せとして表現される，リスクの大きさ結果とその起こりやすさの組合せで表すリスクの大きさという説明は、リスクレベルの定義に合っています。被害の大きさだけでも、発生確率だけでもなく、両方を合わせて判断するのがポイントです。
- ×ウ 対応すべきリスクに付与する優先順位対応すべきリスクに優先順位を付けるという説明に当てはまる用語定義は、JIS Q 27000では見当たりません。優先順位は、リスクレベルなどの評価結果をもとに決めるもので、リスクレベルの定義そのものではありません。
- ×エ リスクの重大性を評価するために目安とする条件リスクの重大性を評価するための目安となる条件という説明は、「リスク基準」の定義です。リスク基準は、算定したリスクレベルと照らし合わせるための物差しで、リスクの大きさそのものではありません。
補足
リスクレベルとリスク基準は名前が似ていて紛らわしいので、「求めた大きさ」と「比べるための物差し」という違いで覚えておきましょう。なお、リスクレベルは必ずしも数値の掛け算で求めるとは限りません。高・中・低のような定性的な表現で示すこともあります。
※JIS Q 27000は出題後に2019年版へ改正されています。リスクレベルの定義の趣旨は変わっていませんが、引用するときは最新版の表記を確認してください。
POINT
- リスクレベルは、結果とその起こりやすさの組合せとして表現されるリスクの大きさです。
- 脆弱性は、脅威に付け込まれる可能性がある資産や管理策の弱点を指します。
- リスク基準は、リスクの重大性を評価するための目安となる条件です。
- リスクレベルはリスク分析の段階で求め、それをリスク基準と比べてリスクを評価します。