リスクアセスメントとは？

リスクアセスメントの意味

情報資産に対する脅威や脆弱性を洗い出し、発生の可能性や影響の大きさからリスクの大きさを評価するプロセス。評価結果に基づいて対策の優先順位を決める。

リスクアセスメントの具体例

「顧客データベースへの不正アクセス」というリスクは影響が大きいため優先度を高くし、「壁の掲示物の紛失」のような影響の小さいリスクより先に対策を講じる、といった判断に用いる。

リスクアセスメントは試験でどう引っ掛けられる？

リスクの特定・分析・評価までがアセスメントで、回避・低減・移転・受容と実際に手を打つのはリスク対応。両方を含む上位の枠組みがリスクマネジメントという入れ子の関係を整理しておくと選択肢で迷わない。

リスクアセスメントと関連する用語

• ISMS

リスクアセスメントが出た過去問

• ISMSを構築する組織において、企業の経営方針に基づいて情報セキュリティ基本方針を策定した。これは、ISMSのPDCAサイクルのどのプロセスで実施されるか。

  正解：P

  要点：情報セキュリティ基本方針の策定はPlanの段階

  ISMSはPDCAサイクルで運用され、Pの段階で適用範囲の決定、基本方針の策定、リスクアセスメントと対応方針の決定などを行う。経営方針を踏まえた情報セキュリティ基本方針の策定は、この計画段階に位置付けられる。

  出典：平成26年度 秋期 ITパスポート試験 問78（IPA）

• 情報セキュリティのリスクアセスメントにおける、資産価値、脅威、脆弱性及びリスクの大きさの関係として、適切なものはどれか。

  正解：リスクの大きさは、資産価値、脅威及び脆弱性の大きさによって決まる。

  要点：リスクは資産価値・脅威・脆弱性から決まる

  リスクアセスメントでは、守るべき情報資産の価値、それを脅かす事象である脅威、そして脅威につけ込まれる弱点である脆弱性の三つを組み合わせてリスクの大きさを見積もる。価値が高く、脅威が起こりやすく、弱点が大きいほどリスクは大きくなる。したがってリスクが従属変数であり、他の三つがリスクによって決まるという説明は関係が逆になる。

  出典：平成26年度 春期 ITパスポート試験 問72（IPA）

• 監査を，業務監査，システム監査，情報セキュリティ監査に分類したとき，監査の目的に関する記述a～dと監査の種類の適切な組合せはどれか。 a 財務諸表がその組織体の…

  正解：業務監査：d　システム監査：b　情報セキュリティ監査：c

  要点：財務諸表の適正性評価は会計監査で、3分類には含まれない

  財務諸表の適正性を評価するのは会計監査であり、選択肢の3分類には含まれない。会計業務以外の業務全般の遂行状況を評価するのが業務監査、情報システムに関わるリスクへの統制を評価するのがシステム監査、情報セキュリティのリスクマネジメントに関する統制を評価するのが情報セキュリティ監査である。

  出典：平成28年度 秋期 ITパスポート試験 問40（IPA）

• 情報セキュリティのリスクマネジメントをリスク特定，リスク分析，リスク評価，リスク対応に分けたときに，リスク対応に含まれるものはどれか。

  正解：リスクへの対処方法を選択し，具体的な管理策の計画を立てる。

  要点：リスク対応は対処方針の選択と具体的な管理策の計画

  リスクアセスメントは特定・分析・評価の三段階で、どんなリスクがあるかを洗い出し、大きさを算定し、受容基準と照らして対応の要否を判断する。そのうえで実施するリスク対応では、低減・回避・移転・保有といった方針を選び、具体的な管理策とその実施計画を定める。

  出典：平成29年度 春期 ITパスポート試験 問63（IPA）

• ISMSの“計画”，“運用”，“パフォーマンス評価”及び“改善”において，“パフォーマンス評価”で実施するものはどれか。

  正解：内部監査

  要点：ISMSのパフォーマンス評価には監視・測定と内部監査が入る

  ISMSはPDCAに沿って運営され、計画で方針・リスクアセスメント・対応計画を定め、運用で管理策を実施し、パフォーマンス評価で監視・測定・内部監査・マネジメントレビューを行い、改善で是正処置を実施する。したがって内部監査はパフォーマンス評価の段階に含まれる。

  出典：平成29年度 春期 ITパスポート試験 問75（IPA）