応用情報技術者試験過去問を解いてみた R6年度春期問40

はじめに

今回も、応用情報技術者試験の過去問を解いていきます。

今回のテーマは、JIS Q 31000:2019（リスクマネジメント指針）です。

リスクマネジメントでは、

リスク特定
リスク分析
リスク評価
リスク対応

といった言葉が登場します。

名前だけを見ると似ていますが、それぞれ役割が異なります。

今回の問題では、

「リスク特定の段階では、何を考慮するのか」

が問われています。

ポイントは、単に用語を暗記するのではなく、

特定 → 分析 → 評価 → 対応

という流れの中で、それぞれ何をするのかを整理することです。

問題

JIS Q 31000:2019（リスクマネジメント指針）において、リスク特定で考慮することが望ましいとされている事項はどれか。

選択肢	内容
ア	結果の性質及び大きさ
イ	残留リスクが許容可能かどうかの判断
ウ	資産及び組織の資源の性質及び価値
エ	事象の起こりやすさ及び結果

解答

正解：ウ

資産及び組織の資源の性質及び価値

解説

この問題を理解するためには、まずJIS Q 31000におけるリスクマネジメントの流れを整理しておくと分かりやすくなります。

今回の問題に関係する部分を簡略化すると、次のようになります。

リスクアセスメント
│
├─ リスク特定
│     ↓
├─ リスク分析
│     ↓
└─ リスク評価
       ↓
  　 リスク対応

重要なのは、

リスク特定・リスク分析・リスク評価の3つをまとめて「リスクアセスメント」と呼ぶ

という点です。

そして、その結果を踏まえてリスク対応を行います。

リスク特定とは？

リスク特定とは、

組織の目的達成に影響する可能性のあるリスクを発見し、認識し、記述する工程

です。

簡単に言えば、

「どのようなリスクが存在するのかを見つける」

段階です。

リスクを見つけるためには、

どのような資産があるか
組織がどのような資源を持っているか
それらにどのような価値があるか
どのような事象が起こる可能性があるか
どのような原因やリスク源が存在するか

などを確認する必要があります。

そのため、

「資産及び組織の資源の性質及び価値」

はリスク特定で考慮する事項に該当します。

したがって正解は、

ウ

です。

各選択肢の解説

ア：結果の性質及び大きさ

これは主にリスク分析で考慮する内容です。

リスク分析では、特定されたリスクについて、

どのような結果になるのか
影響はどの程度大きいのか
どの程度起こりやすいのか

などを詳しく調べます。

たとえば情報漏えいというリスクを特定した場合、

顧客情報が漏えいする
        ↓
どの程度の損害になる？
        ↓
信用低下
損害賠償
業務停止

といった形で影響を分析していきます。

したがって、アはリスク特定ではありません。

イ：残留リスクが許容可能かどうかの判断

これはリスク対応に関係する内容です。

ここは今回の問題で特に間違えやすいポイントです。

「許容可能か判断する」と書かれているため、

リスク評価では？

と思いやすいのですが、JIS Q 31000では、リスク対応のプロセスの中で、

対応策を選ぶ
対応を実施する
対応の有効性を評価する
残留リスクが許容可能か判断する
許容できなければ追加対応する

という流れが示されています。

例えば、

情報漏えいリスク
      ↓
アクセス制御を導入
      ↓
リスクは小さくなった
      ↓
まだ残っているリスクは許容できる？
      ↓
YES → 受け入れる
NO  → 追加対策

というイメージです。

したがって、イはリスク特定ではありません。

ウ：資産及び組織の資源の性質及び価値

これが正解です。

リスクを特定するためには、まず

「何が重要なのか」

を把握する必要があります。

例えば企業であれば、

資産・資源	例
情報	顧客情報、設計情報
システム	基幹システム、Webシステム
設備	サーバ、工場設備
人	技術者、管理者
知的財産	特許、ノウハウ

などがあります。

これらの性質や価値を把握することで、

「何に対して、どのようなリスクがあるのか」

を考えられるようになります。

したがって、ウが正解です。

エ：事象の起こりやすさ及び結果

これはリスク分析で考慮する内容です。

リスク分析では、

「どれくらい起こりやすいのか」

と、

「起きた場合にどれくらいの影響があるのか」

を考えます。

例えば、

リスク	起こりやすさ	影響
サーバ障害	高い	中
大規模地震	低い	非常に大きい
パスワード漏えい	中	大きい

といった形です。

つまり、

起こりやすさ
      ×
結果・影響
      ↓
リスクを分析

というイメージです。

したがって、エはリスク特定ではありません。

問題の用語解説

JIS Q 31000とは？

JIS Q 31000は、組織がリスクを管理するための考え方やプロセスを示した規格です。

JIS Q 31000:2019は、国際規格であるISO 31000:2018に対応しています。

情報セキュリティだけを対象としているわけではなく、

経営
プロジェクト
品質
情報セキュリティ
災害
財務

など、さまざまな分野のリスクに適用できます。

リスクアセスメント

リスクアセスメントとは、

リスク特定
   ↓
リスク分析
   ↓
リスク評価

という3つのプロセス全体を指します。

試験では非常に重要なので、

「特定・分析・評価＝リスクアセスメント」

と覚えておきましょう。

リスク特定

どのようなリスクが存在するのかを発見し、認識し、記述する工程です。

一言で覚えるなら、

「リスクを見つける」

です。

リスク分析

特定したリスクについて、

原因
結果
起こりやすさ
影響の大きさ

などを詳しく分析する工程です。

一言で覚えるなら、

「リスクを調べる」

です。

リスク評価

リスク分析の結果をリスク基準と比較し、どのような意思決定が必要なのかを判断する工程です。

一言で覚えるなら、

「基準と比べて判断する」

です。

リスク対応

リスクに対して、具体的な対策を選択・実施する工程です。

例えば、

リスクを避ける
リスクを低減する
リスクを共有する
リスクを受け入れる

などの対応があります。

一言で覚えるなら、

「リスクに対処する」

です。

残留リスク

リスク対応を実施した後にも残るリスクのことです。

例えば、

不正アクセスのリスク
        ↓
ファイアウォール導入
多要素認証導入
        ↓
リスクは低下
        ↓
それでもゼロにはならない
        ↓
残留リスク

という関係です。

リスク対策をしたからといって、必ずしもリスクを完全にゼロにできるわけではありません。

体系的位置づけ

今回の問題を応用情報技術者試験の体系で整理すると、次のようになります。

テクノロジ系
└─ セキュリティ
   └─ 情報セキュリティ管理
      └─ リスクマネジメント
         └─ JIS Q 31000

今回のJIS Q 31000は、情報セキュリティだけに限定された規格ではありません。

ただし、応用情報技術者試験では情報セキュリティ管理やリスクマネジメントに関連する知識として出題されます。

今回の問題の重要ポイント

今回の問題では、次の4つを区別できるようにしておくことが重要です。

工程	一言で覚える	主な内容
リスク特定	見つける	どんなリスクがあるか
リスク分析	調べる	起こりやすさや結果を分析
リスク評価	比べて判断する	リスク基準と比較する
リスク対応	対処する	対策を選択・実施する

特に重要なのが、

リスク特定
      ↓
リスク分析
      ↓
リスク評価

の3つが、

リスクアセスメント

を構成していることです。

さらに今回の問題では、

「残留リスクが許容可能かどうかの判断」＝リスク対応

という点も押さえておきましょう。

「判断」という言葉だけを見てリスク評価を選んでしまわないことがポイントです。

まとめ

今回の問題では、

JIS Q 31000:2019におけるリスク特定で考慮する事項

が問われました。

正解は、

ウ：資産及び組織の資源の性質及び価値

です。

試験対策としては、次のように整理して覚えると分かりやすいです。

特定 ＝ 見つける
 ↓
分析 ＝ 調べる
 ↓
評価 ＝ 基準と比べて判断する
 ↓
対応 ＝ 対処する

そして、

特定・分析・評価の3つをまとめて「リスクアセスメント」と呼ぶ

ことも重要です。

今回の選択肢を分類すると、次のようになります。

選択肢	内容	該当する工程
ア	結果の性質及び大きさ	リスク分析
イ	残留リスクが許容可能かどうかの判断	リスク対応
ウ	資産及び組織の資源の性質及び価値	リスク特定
エ	事象の起こりやすさ及び結果	リスク分析