情報セキュリティマネジメントリスクマネジメント★★☆

情報セキュリティのリスクアセスメントは、リスク特定、リスク分析、リスク評価の順に進める。このうちリスク分析で行うこととして、最も適切なものはどれか。

正解：エ

ア情報資産にどのような脅威や事象が起こり得るかを洗い出し、リスクの一覧を作る。
誤り。これはリスク特定です。分析の前段で、漏えい、紛失、改ざん、停止など何が起こり得るかを挙げる作業にあたります。ここで漏れたリスクは、以降の工程にも出てきません。
イ見積もった結果をあらかじめ定めたリスク基準と照らし、対応の要否と優先順位を決める。
誤り。これはリスク評価です。分析で出した大きさを、許容できる水準を示すリスク基準と比べる段階にあたります。大きさを出す作業と、線を引く作業は別の工程です。
ウ対応が必要と判断されたリスクについて、回避するか保有するかなどの方針を選ぶ。
誤り。これはリスク対応で、アセスメントの後に続く工程です。アセスメントは、どのリスクに手を打つ必要があるかを判断するところまでです。手の打ち方を決めるのは、その次になります。
エ特定したリスクについて、発生する可能性と起こったときの影響の大きさを見積もる。
正解。起こりやすさと、起きたときの損害の大きさの二つを掛け合わせて、リスクの大きさを見積もります。この見積もりがあるから、次の評価で順位づけができます。

心配事を「並べる → 測る → 線を引く」

リスクアセスメントは、三つの工程を順に踏みます。健康診断にたとえると、気になる項目を挙げるのがリスク特定、数値を測るのがリスク分析、基準値と比べて要精密検査かを判定するのがリスク評価です。

すべてのリスクに同じだけ手をかけられる組織はありません。そこで「めったに起きないが起きたら壊滅的」「よく起きるが損害は小さい」といった違いを、可能性と影響の掛け合わせで表します。

このとき使うのがリスク基準です。どの水準までなら受け入れられるかをあらかじめ決めておき、そこを超えたものだけを対応の対象に回します。基準を先に決めておかないと、評価が担当者の感覚に流れてしまいます。

試験では、ある作業がどの工程にあたるかを問われます。洗い出しか、大きさの見積もりか、基準との照合か、で切り分けると迷いません。