平成22年度 秋期 情報セキュリティスペシャリスト試験 午前II 問5

【解説】

ア: 脅威とは，脆弱性が顕在化する確率のことであり，情報システムに組み込まれた技術的管理策によって決まる。
誤り。脅威は、脆弱性を悪用して情報資産に損害を与える潜在的な要因や事象を指しますが、確率を直接意味するものではありません。

イ: 脆弱性とは，情報システムに対して悪い影響を与える要因のことであり，自然災害，システム障害，人為的過失及び不正行為に大別される。
誤り。これは脅威の説明に該当します。脆弱性は、情報システムが攻撃や損害を受けやすい状態を指します。

ウ: リスクの特定では，脅威が情報資産の脆弱性に付け込み，情報資産に与える影響を特定する。
正しい。JIS Q 27001:2006におけるリスク特定のプロセスは、脅威が脆弱性を悪用して情報資産に影響を与える可能性を特定することを含みます。

エ: リスク評価では，リスク回避とリスク低減の二つに評価を分類し，リスクの大きさを判断して対策を決める。
誤り。リスク回避やリスク低減は「リスク対応」の手法であり、評価の分類ではありません。