正解：ウ
各選択肢の解説
ア情報セキュリティに取り組む目的と基本的な考え方を、経営者の責任として示したもの。
誤り。これは情報セキュリティ方針（基本方針）の説明です。どちらもアセスメントの前に 用意する文書なので混同しがちですが、方針は「なぜ守るか」を示すもので、 リスクの大きさを判定する物差しにはなりません。
イ洗い出した個々のリスクについて、見積もった発生可能性と影響の大きさを記録したもの。
誤り。これはリスク分析の結果です。リスク基準は分析の結果と「比べる側」の物差しで、 分析の前に決めておきます。測った値そのものと、合否を決める線を取り違えないことが 大切です。
ウリスクの大きさがどの水準なら受け入れ、どこから対応が必要かを判断する目安としたもの。
正解。リスク基準は、リスクが重大かどうかを判断するための物差しです。 リスク評価の工程で、分析で出したリスクの大きさをこの基準と照らし、 対応の要否を決めます。
エリスクを下げるために実施するアクセス制御や暗号化などの対策を、項目別に並べたもの。
誤り。これは管理策（対策）の一覧で、情報セキュリティ対策基準などにまとめられます。 対策はリスク対応の段階で選ぶ手段であり、リスクが重大かどうかを判定する 基準とは役割が違います。
理解を深めるために
合否を決める「線」を先に引いておく
健康診断では、血圧を測ったあとに「この値以上なら要再検査」という線と比べて判定します。 測る前にその線が決まっているから、結果を見てすぐに「問題なし」「要対応」と言えます。 情報セキュリティのリスク基準は、この「線」にあたります。
なぜ先に決めておくのか
リスクアセスメントは、リスク特定、リスク分析、リスク評価の順に進みます。
- リスク特定：何が起こり得るかを洗い出す
- リスク分析：発生可能性と影響の大きさを見積もり、リスクの大きさを出す
- リスク評価：分析の結果をリスク基準と比べ、対応が必要かどうか、優先順位を決める
基準を後から決めると、分析結果を見てから線を動かせてしまい、判断が甘くなったり 担当者ごとにばらついたりします。だから、アセスメントの前に組織として決めておくのです。 「リスク値が一定以上なら対応する」「顧客情報に関わるものは影響度を高く見る」といった 形で定めます。
混同しやすいものとの違い
| 用語 | 何を示すか |
|---|---|
| リスク基準 | リスクが重大かどうかを判定する物差し |
| 情報セキュリティ方針 | 取り組む目的と基本的な考え方 |
| リスク分析の結果 | 個々のリスクの発生可能性と影響の見積もり |
| 管理策（対策）の一覧 | リスクを下げるための具体的な手段 |
試験では「判断の目安」「受容できる水準」といった言葉がリスク基準の手がかりです。 値を測るのが分析、測った値を基準で裁くのが評価、と工程と対にして覚えると崩れません。