リスクアセスメントとは？

リスクアセスメントの意味

リスク特定（リスクを発見し、認識し、記述する）、リスク分析（起こりやすさと結果の大きさからリスクレベルを算定する）、リスク評価（算定結果を基準と比較し対応の優先順位を決める）の3工程からなるプロセス。

リスクアセスメントの具体例

資産台帳をもとに基幹システムのランサム感染を特定し、発生可能性「中」・影響「甚大」から5段階のレベル4と算定した。受容基準はレベル3までだったため対応必須と評価し、バックアップのオフライン隔離保管を今期予算に計上した。

リスクアセスメントは試験でどう引っ掛けられる？

3工程の定義の入れ替えが頻出。特に「リスク特定＝発見・認識・記述」であって、そこで大きさを求めるわけではない点。

リスクアセスメントと関連する用語

• リスク対応
• ISMS
• リスク基準

リスクアセスメントが出た過去問

• POODLE（CVE-2014-3566）攻撃の説明はどれか。

  正解：SSL 3.0を使用した通信において，ブロック暗号のCBCモード利用時の脆弱性を突く攻撃であり，パディングを悪用して暗号化通信の内容を解読できる。

  要点：POODLEはSSL3.0のCBCパディングを突く解読攻撃

  POODLEはSSL 3.0のCBCモードにおけるパディング検証の甘さを突く攻撃です。攻撃者がパディング部分を書き換えて応答の可否を観測することで、暗号文を1バイトずつ解読できます。SSL 3.0の仕様上の欠陥であるため、対策はSSL 3.0の無効化です。

  出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問3（IPA）

• 情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。

  正解：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム

  要点：エクスプロイトコードは脆弱性を突くプログラム

  エクスプロイトコードは、ソフトウェアやハードウェアの脆弱性を実際に突いて攻撃や検証を行うために作られたプログラムです。脆弱性の存在を実証する目的で公開されることもありますが、そのまま攻撃に転用されるため危険性が高いものです。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問6（IPA）

• JIS Q 27000における情報セキュリティリスクに関する定義のうち，適切なものはどれか。

  正解：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見・認識・記述する工程

  JIS Q 27000では、リスク特定はリスクを発見し、認識し、記述するプロセスと定義され、リスク源や事象、原因、起こり得る結果の洗い出しを含みます。脅威と脆弱性の定義、リスク評価とリスク対応の区別が問われています。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）

• 情報セキュリティにおけるエクスプロイトコードの説明はどれか。

  正解：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム

  要点：エクスプロイトコードは脆弱性を突く実証・攻撃プログラム

  エクスプロイトコードとは、ソフトウェアやハードウェアに存在する脆弱性を突いて、想定外の動作（任意コード実行や権限昇格など）を引き起こすために作成されたプログラムを指す。攻撃に悪用される一方、検証用コード（PoC）として脆弱性の存在確認やパッチの有効性検証にも用いられる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問5（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する記述のうち，適切なものはどれか。

  正解：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクの発見・認識・記述のプロセス

  JIS Q 27000では、リスク特定を「リスクを発見し、認識し、記述するプロセス」と定義し、リスク源・事象・原因・起こり得る結果の特定を含むとしている。なお脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に悪用され得る資産や管理策の弱点であり、両者の定義を取り違えないことが重要である。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）