令和5年度 秋期 情報処理安全確保支援士試験 午前II 問11

JIS Q 27000:2019（情報セキュリティマネジメントシステムー用語）に規定されている各用語の定義を正しく理解しているかを問う問題です。 正解である エ の記述は、リスク特定 の定義として適切です。リスク特定は、リスクを発見、認識及び記述するプロセスであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれます。

各選択肢の解説

• ア：誤り 「一つ以上の要因によって付け込まれる可能性がある，資産又は管理策の弱点」は、脆弱性 の定義です。脅威ではありません。
• イ：誤り 「システム又は組織に損害を与える可能性がある，望ましくないインシデントの潜在的な原因」は、脅威 の定義です。脆弱性ではありません。
• ウ：誤り 「リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセス」は、リスク評価 の定義です。リスク対応ではありません。
• エ：正解 記述の通り、リスク特定 の正しい定義です。