JIS Q 27000における情報セキュリティリスクに関する定義のうち，適切なものはどれか。

選択肢

• ア脅威とは，一つ以上の要因によって悪用される可能性がある，資産又は管理策の弱点のことである。
• イ脆弱性とは，望ましくないインシデントを引き起こし，システム又は組織に損害を与える可能性がある潜在的な原因のことである。
• ウリスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
• エリスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

正解と解説

正解：エ リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

JIS Q 27000では、リスク特定はリスクを発見し、認識し、記述するプロセスと定義され、リスク源や事象、原因、起こり得る結果の洗い出しを含みます。脅威と脆弱性の定義、リスク評価とリスク対応の区別が問われています。

選択肢ごとの解説

• ア誤り。これは脆弱性の定義。脅威は損害を与え得る潜在的原因。
• イ誤り。これは脅威の定義であり、脆弱性の定義と入れ替わっている。
• ウ誤り。基準と比較して受容可否を決めるのはリスク評価。リスク対応は選択肢の実施。
• エ正しい。リスクを発見・認識・記述するプロセスという定義に合致している。

同じ分野の他の問題

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれ…2025年度 春期 午前II 問10
• JIS Q 27000:2019 (情報セキュリティマネジメントシステム-用語) の用語に関する記述のうち、適切なものは…2023年度 秋期 午前II 問11
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する記述…2017年度 秋期 午前II 問12
• 個人情報の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。2017年度 春期 午前II 問9
• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切…2025年度 秋期 午前II 問25