解説

JIS Q 27000（情報セキュリティマネジメントシステム－用語）で定義される「リスクレベル」の意味を問う用語問題です。リスクレベルは、リスクの大きさを「結果（影響の大きさ）」と「起こりやすさ（発生確率）」の組合せとして表現したものと定義されています。つまり、被害がどれだけ大きいかと、どれだけ起こりやすいかの両面を掛け合わせてリスクの程度を表す指標であり、リスクアセスメントにおいて対応の優先順位付けの基礎となります。イが正解です。情報セキュリティの用語問題では、よく似た用語を厳密に区別することが求められます。具体的には、脆弱性（資産や管理策の弱点）、リスク基準（リスクの重大性を評価する目安となる条件）、リスクレベル（結果と起こりやすさの組合せで表すリスクの大きさ）が紛らわしく、それぞれの定義を正確に押さえておく必要があります。JIS Q 27000の定義は字句そのものが問われるため、キーワード（本問なら「結果」と「起こりやすさ」の組合せ）で覚えるのが効果的です。

なぜ他の選択肢は違うのか

選択肢 ア

脅威によって付け込まれる可能性のある、資産又は管理策の弱点は、「脆弱性（ぜいじゃくせい）」の定義です。脆弱性はリスクを生み出す要因の一つですが、リスクの大きさを表すリスクレベルとは別の概念です。脅威が脆弱性を突くことでリスクが顕在化する、という関係を整理すると、脆弱性とリスクレベルが異なる段階の用語であることが分かります。

選択肢 ウ

対応すべきリスクに付与する優先順位は、「リスク対応の優先順位」に関する記述であり、リスクレベルそのものの定義ではありません。確かにリスクレベルの高低は優先順位を決める材料になりますが、優先順位はリスクレベルを評価した「結果」として付けるものです。リスクの大きさを表す指標と、それを基に決める順位とを混同しないようにしましょう。

選択肢 エ

リスクの重大性を評価するために目安とする条件は、「リスク基準」の定義です。リスク基準は、算出したリスクレベルが受容できるかどうかを判断するためのものさし（しきい値など）です。リスクレベルが「測定された値」だとすれば、リスク基準は「判断のための物差し」に当たり、両者は対になる概念ですが定義は明確に異なります。

解くときのポイント

JIS Q 27000の用語は定義の字句で区別: リスクレベル＝結果と起こりやすさの組合せ、脆弱性＝資産・管理策の弱点、リスク基準＝重大性を評価する目安。キーワードで暗記しよう。