組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）とは？
組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）とは、ISMSは組織が情報セキュリティを継続的に維持・改善する管理の仕組み（PDCAサイクル）。リスクアセスメントは、情報資産への脅威・脆弱性を洗い出しリスクの大きさを評価し対策の優先順位を決めるプロセス。応用情報ではこの基礎の上に、CSIRTによるインシデント対応やデジタルフォレンジックといった実践的な活動が問われる。
基本情報技術者試験の過去問では4回出題されています（2017年度〜2025年度）。
そしきてきせきゅりてぃたいさくのきそ
組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）の意味
ISMSは組織が情報セキュリティを継続的に維持・改善する管理の仕組み（PDCAサイクル）。リスクアセスメントは、情報資産への脅威・脆弱性を洗い出しリスクの大きさを評価し対策の優先順位を決めるプロセス。応用情報ではこの基礎の上に、CSIRTによるインシデント対応やデジタルフォレンジックといった実践的な活動が問われる。
組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）の具体例
リスクアセスメントで「顧客データベースへの不正アクセス」のリスクを高く評価した組織は、ISMSの枠組みの中でその対策を優先的に整備・運用する。
組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）は試験でどう引っ掛けられる？
リスク対応の4分類が入れ替えられやすい。対策を講じて発生確率や影響を下げるのが低減、保険や外部委託で他者に移すのが移転（共有）、事業そのものをやめて原因を断つのが回避、影響が小さいと判断して何もしないのが受容（保有）。保険をかけるのは回避ではなく移転。また脅威と脆弱性は別物で、リスクは資産・脅威・脆弱性がそろって初めて成立する——脆弱性があっても脅威が存在しなければリスクは顕在化しない。ISMSが目指すのはリスクをゼロにすることではなく、受容できる水準まで下げて管理し続けることである点も要注意。
組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）と関連する用語
組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）が出た過去問
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントの前に定めておく
ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。
出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）リスクアセスメントを構成するプロセスの組合せはどれか。
正解：リスク特定、リスク分析、リスク評価
要点：リスクアセスメント＝リスク特定→リスク分析→リスク評価の3工程
JIS Q 31000などの定義では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスから成る。まずどんなリスクがあるかを洗い出し、次に発生可能性と影響度からリスクの大きさを見積もり、最後に基準と照らして対応の要否や優先順位を判断する。リスク対応やリスク受容はアセスメントの後に続く別工程である。
出典：平成29年度 秋期 基本情報技術者試験 午前 問43（IPA）JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における"リスクレベル"の定義はどれか。
正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
要点：リスクレベルは結果の大きさと起こりやすさの組合せ
リスクレベルとは、ある事象が起きたときの結果の重大さと、その起こりやすさとを組み合わせて表したリスクの大きさである。リスクアセスメントでは、この二つの軸で各リスクを評価し、対応の必要性を判断する。弱点そのものは脆弱性、評価の目安となる条件はリスク基準と呼ばれ、いずれも別の用語である。
出典：令和1年度 春期 基本情報技術者試験 午前 問41（IPA）A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…
正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO
要点：RPOは遡る時点、RTOは復旧時間。承認者はCISO
RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。
出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuB 問6（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。