【過去問解説】平成30年度 春期 情報セキュリティマネジメント試験（SG） 午前 問3

出典：平成30年度春期情報セキュリティマネジメント試験（SG）午前問3

難易度設定

予備知識を表示する
ピヨ意訳を表示する
ピヨピヨ解説を表示する

予備知識

用語	意味
情報セキュリティ	情報の安全を守ること
情報セキュリティマネジメントシステム（ISMS）	どこかの誰かが決めた「情報の安全を守るために、こんな取り組みをしよう！」な内容に付けた名前
プロセス	今回は「過程」とか「工程」とか「手順」とか「やり方」とか、そんな感じの意味
リスク	「危険性」のこと。もしくは「不確実性」のこと
リスクレベル	「リスクの大きさ」をキリっとした気分になってカッコ付けて言った表現
リスク特定	「どんなリスクがあるのかな～？」を見つける作業
リスク分析	見つかったリスクに対する「このリスクは、どんなやつかな～？」とかを調べる作業
リスク評価	分析したリスクに対する「このリスクは放っておくとヤバいかな～？」とかを考える作業
リスク対応	実際に、リスクに対処する作業

問題

問題文
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として，適切なものはどれか。
ピヨ意訳：「JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）」に関する問題だよ。「リスク評価」の説明として正しいのは、どれ？

解答選択肢
ア	対策を講じることによって，リスクを修正するプロセス
ア	ピヨ意訳：対策をして、リスクを直す
イ	リスクとその大きさが受容可能か否かを決定するために，リスク分析の結果をリスク基準と比較するプロセス
イ	ピヨ意訳：そのリスクが受け入れられるかを決めるために、リスクの分析結果を基準と比較する
ウ	リスクの特質を理解し，リスクレベルを決定するプロセス
ウ	ピヨ意訳：どんなリスクなのかを理解して、リスクレベルを決める
エ	リスクの発見，認識及び記述を行うプロセス
エ	ピヨ意訳：リスクを見つける

正解

正解
イ	リスクとその大きさが受容可能か否かを決定するために，リスク分析の結果をリスク基準と比較するプロセス
イ	ピヨ意訳：そのリスクが受け入れられるかを決めるために、リスクの分析結果を基準と比較する

ピヨピヨ解説

リスクマネジメントの話ですね。
リスクに対する対応というのは、リスクを

１．見つける
２．調べる
３．考える
４．対処する

といった段階を踏みます。
ちょっと小難しい書き方をすると

１．特定
２．分析
３．評価
４．対応

です。

それを踏まえて、それぞれの選択肢を見ていきましょう。

「ア：対策を講じることによって，リスクを修正するプロセス」は、実際にリスクを修正しています。
やっているのは「対処する」ですね。
この選択肢は「リスク対応」です。

「イ：リスクとその大きさが受容可能か否かを決定するために，リスク分析の結果をリスク基準と比較するプロセス」は、分析結果と基準を比べて「どれくらいヤバいかな？」と考えています。
やっているのは「考える」ですね。
この選択肢は「リスク評価」です。

「ウ：リスクの特質を理解し，リスクレベルを決定するプロセス」は、リスクの特性を理解するように頑張っています。
やっているのは「調べる」ですね。
この選択肢は「リスク分析」です。

「エ：リスクの発見，認識及び記述を行うプロセス」は、リスクを発見しています。
やっているのは「見つける」ですね。
この選択肢は「リスク特定」です。

ということで「イ：リスクとその大きさが受容可能か否かを決定するために，リスク分析の結果をリスク基準と比較するプロセス」が正解です。

ちなみに「JIS Q 27000:2014」の「2　用語及び定義」には以下のように書いてありました。

2.74 リスク評価（risk evaluation）
　リスク（2.68）及び／又はその大きさが，受容可能か又は許容可能かを決定するために，リスク分析（2.70）の結果をリスク基準（2.73）と比較するプロセス（2.61）。
　（JIS Q 0073:2010 の 3.7.1 参照）
　　注記リスク評価は，リスク対応（2.79）に関する意思決定を手助けする。

そのものズバリな内容ですね。