平成24年度 春期 情報セキュリティスペシャリスト試験 午前II 問6

【解説】

ア: 脅威とは，脆弱性が顕在化する源のことであり，情報システムに組み込まれた技術的管理策によって脅威のレベルと発生の可能性が決まる。
誤り。脅威は自然災害や攻撃者などの外部要因を指し、管理策が脅威のレベルを決めるわけではありません。

イ: 脆弱性とは，情報システムに対して悪い影響を与える要因のことであり，自然災害，システム障害，人為的過失及び不正行為に大別される。
誤り。これらは脅威の例であり、脆弱性とはそれらの脅威に付け込まれる弱点のことです。

ウ: リスクの特定では，脅威が管理策の脆弱性に付け込むことによって情報資産に与える影響を特定する。
正しい。これはJIS Q 27001におけるリスク特定の基本的な考え方です。

エ: リスク評価では，リスク回避とリスク低減の二つに評価を分類し，リスクの大きさを判断して対策を決める。
誤り。リスク回避やリスク低減はリスク対策であり、評価プロセスそのものではありません。