JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。

選択肢

• ア脅威とは、一つ以上の要因によって付け込まれる可能性がある、資産又は管理策の弱点のことである。
• イ脆弱性とは、システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因のことである。
• ウリスク対応とは、リスクの大きさが、受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセスのことである。
• エリスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

正解と解説

正解：エ リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。

選択肢ごとの解説

• ア弱点を指す説明なので、これは脅威ではなく脆弱性の定義です。
• イ損害を与え得る潜在的原因を指すので、これは脆弱性ではなく脅威の定義です。
• ウ受容可能かを決めるためにリスク基準と比較するのはリスク評価であり、リスク対応ではありません。
• エ正解。発見・認識・記述という、リスク特定の定義そのものです。

同じ分野の他の問題

• JIS Q 27000:2019 (情報セキュリティマネジメントシステム-用語) の用語に関する記述のうち、適切なものは…2023年度 秋期 午前II 問11
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する記述…2017年度 秋期 午前II 問12
• 個人情報の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。2017年度 春期 午前II 問9
• JIS Q 27000における情報セキュリティリスクに関する定義のうち，適切なものはどれか。2016年度 春期 午前II 問11
• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切…2025年度 秋期 午前II 問25