問題 No.5567
A社では、全社的な情報セキュリティリスクアセスメントを実施するにあたり、限られたセキュリティ予算と人員を最も効果的に配分するため、情報資産の重要度や想定される脅威の発生確率、および脆弱性の大きさを総合的に評価し、許容可能なリスク水準を超えるものに対して優先的に対策を講じる方針を立てた。このように、組織が直面するリスクの大きさに応じて対策の優先順位付けやリソースの割り当てを行う考え方を表す用語として、最も適切なものはどれか。
【正解の解説】
リスク基準
これは病院のトリアージ（緊急度別の治療順位付け）のようなものです。限られたお医者さんと薬というリソースを最も効果的に配分するため、重症度を見て「誰を最優先で治療すべきか」を決めるルールそのものを指しています。セキュリティの世界でも、無限の予算はないため、この基準をもとに「どこから先に対応すべきか」の線引きを行います。
スポンサーリンク
【その他の選択肢の解説】
リスクテイク
問題文にある「優先順位をつけて対策を配分する考え方」ではなく、「リスクを受け入れるという行動そのもの」を指しているため不適切です。試験では、リスクへの対応方針（軽減や移転など）の一つとして出題されやすい用語ですが、本問で求められている「対策の優先順位を決める基準」とは意味が異なります。
リスクアペタイト
これは会社として「ここまでなら損をしても許容範囲とする」というリスクの許容量や食欲（アペタイト）の度合いを表すものであり、優先順位を決めるための「判断基準」そのものを意味する言葉ではありません。初学者が混同しやすい言葉ですが、リソース配分の基準ではなく、あくまでリスクに対する会社の「姿勢や限界ライン」を意味します。
リスクテイキング
リスクテイキングは、新しい事業への挑戦などで「危険を承知で飛び込むこと」という行動や選択を意味します。問題文で問われている「リスクの大きさに応じて対策の優先順位やリソースの割り当てを決める考え方の枠組み」を表す言葉ではないため、文脈に合致しません。英語のテイク（受け取る・挑む）から連想される行動面を指す点が、判断基準を意味するリスク基準との違いです。