リスクレベルの定義を脆弱性・リスク基準と区別して覚える
情報セキュリティマネジメント試験 2022年 サンプル問題 問5 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JIS Q 27000:2019（情報セキュリティマネジメントシステムー用語）における“リスクレベル”の定義はどれか。
- ア
脅威によって付け込まれる可能性のある，資産又は管理策の弱点
- イ
結果とその起こりやすさの組合せとして表現される，リスクの大きさ
- ウ
対応すべきリスクに付与する優先順位
- エ
リスクの重大性を評価するために目安とする条件
会話形式の解説
講師今回は、JIS Q 27000:2019という用語の規格で「リスクレベル」がどう定義されているかを問う問題です。選択肢の多くは別の用語の説明なので、それぞれ何の定義なのかを見分けるのがポイントです。
受験者リスクレベルというくらいなので、リスクの「高さ」や「大きさ」のことだと思います。ただ、優先順位の選択肢もそれらしく見えて迷いました。
講師「大きさ」という捉え方で合っています。定義は「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」です。結果とは影響のことで、影響が大きいほど、また起こりやすいほど、リスクレベルは高くなります。
受験者では、優先順位の選択肢はどう考えればよいですか。レベルが高いものから対応するなら、ほとんど同じ意味に思えます。
講師関係はありますが、同じではありません。リスクレベルは優先順位を考えるときの材料の一つです。対応の優先順位は、そうした評価の結果を踏まえて決めていくもので、リスクレベルという用語が指すのはあくまで「大きさ」そのものです。
受験者資産や管理策の弱点という説明は、脆弱性のことですよね。
講師そのとおりです。脆弱性は、脅威に付け込まれる可能性のある資産又は管理策の弱点です。リスクの大きさを表すものではないので、リスクレベルには当たりません。
受験者残る「リスクの重大性を評価するために目安とする条件」も、大きさのように読めてしまいます。
講師そこが一番の引っかけです。これはリスク基準の定義です。リスクレベルが「測った値」だとすると、リスク基準はその値と比べる「物差し」に当たります。リスク評価では、算出したリスクレベルをリスク基準と比べて、対応が必要かどうかを判断します。
受験者整理すると、リスクレベルは結果と起こりやすさで表す大きさ、リスク基準は比べるための物差し、脆弱性は弱点ということですね。
講師はい、その整理で十分です。あわせて、脅威は「システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」と定義されています。脅威と脆弱性も別の用語として問われることがあるので、セットで覚えておくと安心です。
まとめ
JIS Q 27000:2019では、リスクレベルを「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」と定義しています。資産又は管理策の弱点という説明は脆弱性、リスクの重大性を評価するときに目安とする条件という説明はリスク基準の定義です。リスクレベルは測った値、リスク基準はその値と比べる物差しと整理すると区別しやすくなります。対応の優先順位は評価の結果を踏まえて決めるもので、リスクレベルそのものではありません。
解答・解説
正解はイです
この問題のテーマ
JIS Q 27000:2019で定める「リスクレベル」の定義を選ぶ問題です。脆弱性やリスク基準など、紛らわしい関連用語と区別できるかが問われています。
解き方の考え方
リスクレベルは「リスクの大きさ」を表す用語で、その大きさは結果（影響）と起こりやすさを組み合わせて表します。この「大きさ」と「結果と起こりやすさの組合せ」の二つを含む選択肢を探せば答えが決まります。残りの選択肢は、それぞれが別の用語の説明になっていないかを確かめると、迷わずに消去できます。
選択肢ごとの解説
- ×ア 脅威によって付け込まれる可能性のある，資産又は管理策の弱点脅威に付け込まれる可能性のある資産又は管理策の弱点という説明は、脆弱性の定義です。リスクの大きさを表すものではないため、リスクレベルには当たりません。
- ○イ 結果とその起こりやすさの組合せとして表現される，リスクの大きさ結果とその起こりやすさの組合せで表すリスクの大きさという説明は、リスクレベルの定義そのものです。影響が大きいほど、また起こりやすいほど、リスクレベルは高くなります。
- ×ウ 対応すべきリスクに付与する優先順位対応すべきリスクに優先順位を付けることは、リスク評価の結果をもとに行う作業です。リスクレベルは優先順位を決めるときの材料にはなりますが、優先順位そのものを指す用語ではありません。
- ×エ リスクの重大性を評価するために目安とする条件リスクの重大性を評価するときに目安とする条件という説明は、リスク基準の定義です。リスク基準は算出したリスクレベルと比べる「物差し」であり、リスクの大きさそのものではありません。
補足
リスクレベルとリスク基準は、どちらも「リスクの重大さ」に関わる用語なので取り違えやすい組合せです。リスクレベルは測った値、リスク基準はその値と比べる物差しと整理しておくと区別しやすくなります。なお、脅威は損害をもたらす可能性のある原因、脆弱性は脅威に付け込まれる可能性のある資産又は管理策の弱点です。両者は別の用語として問われることがあります。
POINT
- リスクレベルは、結果とその起こりやすさの組合せで表すリスクの大きさです。
- 脆弱性は、脅威に付け込まれる可能性のある資産又は管理策の弱点です。
- リスク基準は、リスクの重大性を評価するときに目安とする条件です。
- リスク評価では、算出したリスクレベルをリスク基準と比べて、対応の要否や優先順位を判断します。