令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問20
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち，適切なものはどれか。
解答・解説
正解: エ. リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における各用語の定義に関する問題です。正解は エ です。
リスク特定 とは、リスクを発見、認識及び記述するプロセスのことです。これには、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれます。
各選択肢の解説
- ア: 不適切です。この記述は 脆弱性 の定義です。脆弱性とは、一つ以上の脅威によって付け込まれる可能性がある、資産又は管理策の弱点のことです。
- イ: 不適切です。この記述は 脅威 の定義です。脅威とは、システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因のことです。
- ウ: 不適切です。この記述は リスク評価 の定義です。リスク評価とは、リスクの大きさが受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセスのことです。なお、リスク対応 は、リスクを修正するプロセスを指します。
- エ: 適切です。リスク特定 の正しい定義です。