リスクアセスメントとは？

リスクアセスメントの意味

リスク特定・リスク分析・リスク評価の3段階からなる一連の手続き。情報資産に対する脅威と脆弱性を洗い出し、発生可能性と影響度から大きさを見積もり、受容基準と比べて対応の優先順位を決める。FEでは順序と各段階の内容が問われる。

リスクアセスメントの具体例

顧客DBという資産に対し「不正アクセス」という脅威と「古いOSを使用」という脆弱性を特定する。発生可能性「中」×影響度「大」からリスク値を算出し、受容水準を超えるため優先的にOS更新とアクセス制御を実施すると決める。

リスクアセスメントは試験でどう引っ掛けられる？

アセスメントは「評価まで」で、対応策の実施は次工程のリスク対応。リスクの大きさは「資産価値×脅威×脆弱性」で捉え、脅威が存在しても脆弱性がなければリスクにならない点も問われる。

リスクアセスメントと関連する用語

• リスク対応
• 情報資産の管理と分類
• 情報セキュリティポリシ

リスクアセスメントが出た過去問

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントの前に定めておく

  ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）

• CSIRTの説明として、適切なものはどれか。

  正解：企業内・組織内や政府機関に設置され、情報セキュリティインシデントに関する報告を受け取り、調査し、対応活動を行う組織の総称である。

  要点：CSIRTはセキュリティ事故の受付・調査・対応を担うチーム

  CSIRT（Computer Security Incident Response Team）は、組織内で発生した情報セキュリティ事故の届出を受け付け、原因を調査し、封じ込めや復旧、再発防止までの対応を担うチームの総称である。企業内、政府機関、地域単位など設置形態は様々で、平時には脆弱性情報の収集や注意喚起も行う。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問42（IPA）

• リスクアセスメントを構成するプロセスの組合せはどれか。

  正解：リスク特定、リスク分析、リスク評価

  要点：リスクアセスメント＝リスク特定→リスク分析→リスク評価の3工程

  JIS Q 31000などの定義では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスから成る。まずどんなリスクがあるかを洗い出し、次に発生可能性と影響度からリスクの大きさを見積もり、最後に基準と照らして対応の要否や優先順位を判断する。リスク対応やリスク受容はアセスメントの後に続く別工程である。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問43（IPA）

• コンピュータやネットワークのセキュリティ上の脆弱性を発見するために、システムを実際に攻撃して侵入を試みる手法はどれか。

  正解：ペネトレーションテスト

  要点：ペネトレーションテストは実際に侵入を試みて脆弱性を確かめる

  ペネトレーションテストは、実際に攻撃者と同じ手口でシステムへの侵入を試み、防御が突破できるかを確かめる検査手法である。机上のチェックでは見つからない設定不備や脆弱性の組合せを実証的に洗い出せる。実施にあたっては対象システムの所有者から事前に承認を得る必要がある。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問45（IPA）

• ドライブバイダウンロード攻撃に該当するものはどれか。

  正解：利用者が公開Webサイトを閲覧したときに、その利用者の意図にかかわらず、PCにマルウェアをダウンロードさせて感染させる。

  要点：ドライブバイダウンロードは閲覧だけで感染させる攻撃

  ドライブバイダウンロード攻撃は、改ざんされたWebサイトなどを閲覧しただけで、利用者が気付かないうちにマルウェアが自動的にダウンロード・実行される攻撃である。ブラウザやプラグインの脆弱性が悪用されるため、修正プログラムの適用が有効な対策となる。

  出典：平成30年度 春期 基本情報技術者試験 午前 問36（IPA）