解説

JIS Q 27000:2019では情報セキュリティ管理に関する用語が厳密に定義されています。混同しやすい用語の対比：①脅威＝「システムや組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」（例：マルウェア、不正アクセス者）②脆弱性＝「一つ以上の脅威によって付け込まれる可能性がある、資産または管理策の弱点」（例：パッチ未適用、設定ミス）③リスク評価＝「リスク分析結果をリスク基準と比較してリスクの重大さを決定するプロセス」④リスク対応＝「リスクを修正するための選択肢を選定し実施するプロセス」⑤リスク特定＝「リスクを発見、認識及び記述するプロセス（リスク源・事象・原因・結果の特定を含む）」。選択肢dのリスク特定の定義が正しい。

なぜ他の選択肢は違うのか

選択肢 ア

「一つ以上の要因によって付け込まれる可能性がある資産または管理策の弱点」は脆弱性の定義です。脅威の定義は「望ましくないインシデントの潜在的な原因」であり、「弱点」という表現は脆弱性に対応します。

選択肢 イ

「システムまたは組織に損害を与える可能性がある望ましくないインシデントの潜在的な原因」は脅威の定義です。脆弱性の定義は「脅威によって付け込まれる資産または管理策の弱点」です。aとbで脅威と脆弱性の定義が入れ替わっています。

選択肢 ウ

「リスク分析の結果をリスク基準と比較するプロセス」はリスク評価の定義です。リスク対応はリスク評価後に行う「リスク修正のための選択肢選定と実施」であり、比較・評価の段階ではありません。

解くときのポイント

JIS Q 27000の用語対比暗記法：脅威＝「原因」（外部の危険）、脆弱性＝「弱点」（内部の隙）、リスク評価＝「比較・判断」、リスク対応＝「選定・実施」、リスク特定＝「発見・認識・記述」。a・bで脅威と脆弱性が入れ替わる引っかけに注意。