問題 No.6433
情報セキュリティマネジメントにおけるリスク分析の定義として、最も適切なものはどれか。
【正解の解説】
特定されたリスクの大きさを見積もり、リスク受容の基準に照らしてそのリスクの重要性を評価するプロセスである。
これは健康診断で「コレステロール値が基準値より高いから、今のうちに食生活を改善しないとヤバいぞ」と深刻度を判定するようなものです。単にリスクをリストアップするだけでなく、「うちの会社にとって、このトラブルはどれくらい致命的か？」をモノサシに照らして優先順位をつける重要なステップになります。
スポンサーリンク
【その他の選択肢の解説】
組織が直面するすべての情報資産を洗い出し、脅威と脆弱性の組み合わせからリスクの発生確率を算出するプロセスである。
試験では「リスク分析」と「リスク特定」の言葉の定義をすり替える問題が非常によく出題されます。資産の洗い出しや脅威の発見は、あくまで分析の材料を集める「リスク特定」の作業であり、大きさを見積もる分析そのものとは明確に区別して覚える必要があります。
特定されたリスクに対して適切な管理策を選択し、許容できないレベルのリスクを低減または回避するプロセスである。
健康診断で「数値が高くてヤバいとわかったので、今日からジョギングを始める」という行動部分は、分析ではなく「リスク対応」に該当します。試験問題文に「管理策を選択し低減する」とあったら、それは分析ではなく対策フェーズの話だと即座に気づけるようにしましょう。
情報セキュリティ方針に基づいて設定されたリスクアセスメントの完了後、残存リスクを文書化し経営陣の承認を得るプロセスである。
リスクアセスメントのすべての工程が終わったあとに、経営陣に「これでリスク管理を完了しますがよろしいですか？」とハンコをもらう最終確認のステップです。分析プロセスの定義を問われている本問においては、作業の順番やタイミングが異なるため不正解となります。