解説

JIS Q 27000:2019（ISO/IEC 27000:2018）はISMSの用語規格であり、各用語の定義を正確に把握することが重要。選択肢dの「リスク特定」の定義「リスクを発見、認識及び記述するプロセスであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる」は規格の定義通りで正解。リスク特定はリスクアセスメントの最初のステップで、どのようなリスクが存在するかを網羅的に洗い出す活動。混同されやすい他の用語との違い：「脅威（Threat）」は資産またはシステムに損害を与える可能性がある望ましくないインシデントの潜在的な原因、「脆弱性（Vulnerability）」は脅威によって付け込まれる可能性がある資産や管理策の弱点、「リスク対応（Risk Treatment）」はリスクを修正するためのプロセス、「リスク評価（Risk Evaluation）」はリスク分析の結果をリスク基準と比較するプロセスである。

なぜ他の選択肢は違うのか

選択肢 ア

「脅威」の定義として「一つ以上の要因によって付け込まれる可能性がある資産又は管理策の弱点」としているが、これは脅威ではなく「脆弱性（Vulnerability）」の定義である。JIS Q 27000における脅威は「システムまたは組織に損害を与える可能性がある望ましくないインシデントの潜在的な原因」と定義される。

選択肢 イ

「脆弱性」の定義として「システム又は組織に損害を与える可能性がある望ましくないインシデントの潜在的な原因」としているが、これは脆弱性ではなく「脅威（Threat）」の定義である。JIS Q 27000における脆弱性は「一つ以上の脅威によって付け込まれる可能性がある資産又は管理策の弱点」と定義される。

選択肢 ウ

「リスク対応」の定義として「リスクの大きさが受容可能か否かを決定するためにリスク分析の結果をリスク基準と比較するプロセス」としているが、これは「リスク評価（Risk Evaluation）」の定義である。リスク対応はリスクを修正するためのプロセスで、回避・低減・移転・保有などの処置を選択・実施する活動を指す。

解くときのポイント

JIS Q 27000の用語4セット: 脅威（潜在的な損害原因）・脆弱性（付け込まれる弱点）・リスク特定（発見・記述プロセス）・リスク評価（分析結果と基準の比較）。混同に注意。