リスクアセスメント（資産・脅威・脆弱性）とは？

リスクアセスメント（資産・脅威・脆弱性）の意味

守るべき情報資産を洗い出し、脅威と脆弱性を突き合わせて、発生可能性と影響の大きさからリスクの大きさを見積もり、対応の優先順位を決める一連の工程。特定・分析・評価の三段階からなり、対応方針を選ぶ前提となる。

リスクアセスメント（資産・脅威・脆弱性）の具体例

顧客名簿を「機密・影響大」と格付けし、委託先経由の持ち出しという脅威と、持ち出し制御が未導入という脆弱性を掛け合わせてリスクを高と評価する。年間予想損失額を試算し、制御ソフトの導入費用と比較して投資を判断する。

リスクアセスメント（資産・脅威・脆弱性）は試験でどう引っ掛けられる？

リスクの大小を決める工程であり、低減・移転・回避・受容を選ぶ対応工程とは分けて考える。また資産価値を金額でしか測らないと、法令違反や信用低下といった定性的な影響を見落とす。定量・定性の併用が実務的。

リスクアセスメント（資産・脅威・脆弱性）と関連する用語

• リスク対応の4分類
• 事業影響度分析（BIA）
• リスクアペタイト・リスク受容水準

リスクアセスメント（資産・脅威・脆弱性）が出た過去問

• 無線LANのセキュリティ方式としてWPA2を選択するとき，利用される暗号化アルゴリズムはどれか。

  正解：AES

  要点：WPA2の暗号化はAES（CCMP）を用いる

  WPA2はIEEE 802.11iに基づく無線LANのセキュリティ方式で、暗号化にはブロック暗号AESを用いたCCMPが使われる。旧方式のWEPやWPA（TKIP）が採用していたストリーム暗号RC4は脆弱性が指摘されており、WPA2でAESに置き換えられた。

  出典：平成28年度 秋期 ITストラテジスト試験 am2 問25（IPA）

• プログラムの排他制御の不備によって、プロセスやスレッドが共有リソースに同時アクセスした場合に想定外の動作をするという問題はどれか。

  正解：レースコンディション

  要点：レースコンディションは排他制御不備による競合状態

  レースコンディション（競合状態）は、複数のプロセスやスレッドが共有資源に同時アクセスした際、処理の実行順序やタイミングによって結果が変わってしまう問題である。排他制御（ロックや不可分操作）の不備が原因で、権限昇格などのセキュリティ上の脆弱性にもつながる。

  出典：令和7年度 春期 ITストラテジスト試験 am2 問23（IPA）

• JPCERTコーディネーションセンター"CSIRTガイド(2021年11月30日)"では、CSIRTの機能をサービス対象によって六つに分類しており、その一つにベ…

  正解：機能:自社製品の脆弱性に対応し、パッチ作成や注意喚起を行う。 サービス対象:自組織及び自社製品の利用者

  要点：ベンダーチームは自社製品の脆弱性対応を担うCSIRT

  CSIRTガイドでは、ベンダーチームを自社が開発・提供する製品の脆弱性に対応するチームと位置づけている。脆弱性情報を受け付けて調査し、修正パッチの作成や注意喚起を行う役割を担い、サービス対象は自組織と自社製品の利用者となる。

  出典：令和7年度 春期 ITストラテジスト試験 am2 問24（IPA）