リスクアセスメントとは？

リスクアセスメントの意味

リスク特定・リスク分析・リスク評価の3つを合わせたプロセス。何が起こり得るかを洗い出し、その大きさを見積もり、リスク基準と比較して対応の要否と優先順位を決める。

リスクアセスメントの具体例

資産・脅威・脆弱性の一覧化（特定）、影響度と発生可能性の見積り（分析）、受容基準との比較（評価）という順で実施する。

リスクアセスメントは試験でどう引っ掛けられる？

リスク対応（低減・回避・移転・受容の選択と実施）はアセスメントの後の別プロセス。アセスメントには含まれない。

リスクアセスメントと関連する用語

• リスク特定
• リスク分析
• リスク評価
• リスク対応

リスクアセスメントが出た過去問

• ペネトレーションテストに該当するものはどれか。

  正解：ファイアウォールや公開サーバに侵入できないかどうかを確認する。

  要点：ペネトレーションテストは実際に侵入を試み防御突破の可否を確認する

  ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、防御機構を突破できるかどうかを確かめる検査である。ファイアウォールや公開サーバに対して既知の攻撃手法を適用し、脆弱性が実際に悪用可能かを実証的に確認する点に特徴がある。仕様との一致確認や処理性能の測定は別種のテストである。

  出典：平成29年度 春期 システム監査技術者試験 am2 問21（IPA）

• JIS Q 27000:2014(情報セキュリティマネジメントシステム-用語)における情報セキュリティリスクに関する記述のうち,適切なものはどれか。

  正解：リスク特定とは,リスクを発見,認識及び記述するプロセスのことであり,リスク源,事象,それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスク源や事象と結果を発見し記述する過程

  JIS Q 27000では用語が明確に定義されている。リスク特定はリスクを発見し認識して記述する過程であり、リスク源や事象、その原因と起こり得る結果を洗い出すことを含む。脅威は損害を与えうる望ましくないインシデントの潜在的原因、脆弱性は悪用されうる資産や管理策の弱点で、選択肢では両者が入れ替えられている。

  出典：令和1年度 春期 システム監査技術者試験 am2 問20（IPA）

• NIST“Cybersecurity Framework：重要インフラのサイバーセキュリティを改善するためのフレームワーク（1.1版）”にある機能とカテゴリの組…

  正解：識別／リスクアセスメント：自組織は、組織の業務、組織の資産及び個人に対するサイバーセキュリティリスクを把握している。

  要点：CSFの識別機能にリスクアセスメントが属し組織のリスクを把握する

  NISTサイバーセキュリティフレームワークは、識別・防御・検知・対応・復旧の五つのコア機能を置き、その下にカテゴリを配置する。リスクアセスメントは、自組織の業務・資産・個人に対するリスクを把握するカテゴリで、現状を把握する段階である識別機能に属する。他の選択肢は、カテゴリが本来属する機能とずれている。

  出典：令和3年度 秋期 システム監査技術者試験 am2 問19（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定は発見・認識・記述の段階で、受容可否の判断は評価

  JIS Q 27000の用語定義では、脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に付け込まれ得る資産や管理策の弱点を指す。リスク特定はリスクを発見・認識・記述するプロセスで、リスク源、事象、原因、起こり得る結果を洗い出す段階である。リスク基準と比較して受容可否を決めるのはリスク評価であり、リスク対応はその後の処置を選ぶ段階になる。

  出典：令和3年度 秋期 システム監査技術者試験 am2 問20（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として、適切なものはどれか。

  正解：リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス

  要点：リスク評価は分析結果をリスク基準と比べ受容可否を決める

  JIS Q 27000では、リスクアセスメントをリスク特定・リスク分析・リスク評価の三段階で捉える。このうちリスク評価は、リスク分析で得た結果をあらかじめ定めたリスク基準と照らし合わせ、そのリスクとその大きさが受容できるかどうか、対応が必要かどうかを決めるプロセスである。

  出典：令和5年度 秋期 システム監査技術者試験 am2 問19（IPA）