令和7年度 春期 情報処理安全確保支援士 午前II 問10

各選択肢の解説

ア

脅威とは、一つ以上の要因によって付け込まれる可能性がある、資産又は管理策の弱点のことである。

誤りです。「一つ以上の脅威によって付け込まれる可能性のある、資産又は管理策の弱点」は、JIS Q 27000:2019では脆弱性の定義です。この選択肢は、脅威と脆弱性の定義を取り違えています。また、規格の定義では「要因」ではなく「脅威」です。脅威は、損害を与える可能性がある望ましくないインシデントの潜在的な原因を指します。

イ

脆弱性とは、システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因のことである。

誤りです。「システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」は、JIS Q 27000:2019では脅威の定義です。脆弱性は、一つ以上の脅威によって付け込まれる可能性のある、資産や管理策の弱点を指します。この選択肢も、両者の定義を入れ替えています。

ウ

リスク対応とは、リスクの大きさが、受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセスのことである。

誤りです。リスク分析の結果をリスク基準と比べて、リスクの大きさが受容・許容できるかを決めるプロセスは、リスク評価の定義です。JIS Q 27000:2019では、リスク対応は「リスクを修正するプロセス」と定義されています。注記では、リスクの回避、リスク源の除去、起こりやすさや結果の変更、他者との共有、情報に基づくリスクの保有などが挙げられています。

エ

リスク特定とは、リスクを発見,認識及び記述するプロセスのことであり、リスク源,事象,それらの原因及び起こり得る結果の特定が含まれる。

正しいです。JIS Q 27000:2019では、リスク特定を「リスクを発見、認識及び記述するプロセス」と定義しています。注記で、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれるとしています。リスク特定は、リスク分析・リスク評価へと続くリスクアセスメントの最初のプロセスです。