リスク（目的に対する不確かさの影響）とは？

リスク（目的に対する不確かさの影響）の意味

規格上は「目的に対する不確かさの影響」と定義される。情報セキュリティでは、脅威が脆弱性を突いて情報資産に損害を与える可能性を指し、資産価値・脅威・脆弱性の3つが揃って初めてリスクになると考える。

リスク（目的に対する不確かさの影響）の具体例

顧客名簿という価値ある資産があり、持ち出し可能なUSBメモリという脆弱性があり、内部不正という脅威がある。この3つが同時に成り立つとき「名簿が持ち出される」というリスクが存在すると評価する。

リスク（目的に対する不確かさの影響）は試験でどう引っ掛けられる？

リスクを脅威そのものと混同しやすい。脅威は外から来る要因、脆弱性は自分側の弱点、リスクはその組合せで生じる可能性であり、対策で減らせるのは主に脆弱性の側である。

リスク（目的に対する不確かさの影響）と関連する用語

• 脅威
• 脆弱性
• リスクアセスメント（リスク特定・分析・評価）

リスク（目的に対する不確かさの影響）が出た過去問

• システム監査基準（平成16年）における，組織体がシステム監査を実施する目的はどれか。

  正解：情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。

  要点：システム監査はコントロールを評価しITガバナンスに寄与する

  システム監査は、情報システムにまつわるリスクに対するコントロールが適切に整備・運用されているかを独立した立場で評価し、問題があれば改善につなげることを目的とする。これによりITガバナンスの実現に寄与する。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問39（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントより先に定める

  JIS Q 27001では、リスクアセスメントを行う前にリスク受容基準を含むリスク基準を確立しておくことが要求されている。順序が逆になると、算定結果を見てから受容の線引きを決めることになり、判断の客観性が損なわれる。したがって、アセスメント実施後に受容基準を決めていた状況は要求事項からの逸脱であり、指摘事項として記載すべきである。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）

• 金融庁“財務報告に係る内部統制の評価及び監査の基準(平成23年)”に基づいて、内部統制の基本的要素を、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタ…

  正解：発注業務と検収業務をそれぞれ別の者に担当させること

  要点：職務分掌による相互牽制は統制活動の代表例

  統制活動とは、経営者の指示が適切に実行されるようにするための方針と手続であり、業務の中に組み込まれる具体的な統制を指す。発注と検収を別の担当者に分ける職務分掌は、不正や誤りを相互に牽制する代表的な統制活動である。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問38（IPA）

• プロジェクトライフサイクルの一般的な特性はどれか。

  正解：リスクは、プロジェクトが完了に近づくにつれて減少する。

  要点：リスクは進行につれ減り、変更コストは終盤ほど大きい

  プロジェクトの初期は不確実性が高くリスクも大きいが、作業が進み情報が増えるにつれて不確実性は減り、残存リスクは小さくなっていく。一方で、要員数は中盤にピークを迎え、ステークホルダが低コストで成果物に影響を与えられる度合いは初期ほど大きく、変更やエラーの修正コストは終盤ほど大きくなる。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問43（IPA）

• 事業継続計画の策定に際し，リスクへの対応として適切なものはどれか。

  正解：想定するリスクのうち，許容できる損失を超えるものを優先的に対処する。

  要点：BCPは許容できる損失を超えるリスクから優先的に対処する

  経営資源には限りがあるため、事業継続計画ではすべてのリスクへ均等に手を打つのではなく、発生時の影響度と発生可能性から優先順位を付ける。許容できる損失を超えるリスクから優先的に対処するのが現実的かつ効果的である。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問49（IPA）