令和4年度 春期 応用情報技術者試験 午前 問題 問43

JIS Q 27000:2019（情報セキュリティマネジメントシステムー用語）において、リスクレベルは「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」と定義されています。

情報セキュリティリスクアセスメントでは、リスクがもたらす影響（結果）と、そのリスクが顕在化する可能性（起こりやすさ）の2つの軸を組み合わせて、リスクの大きさを判定します。

各選択肢の解説

• ア: 「脅威によって付け込まれる可能性のある、資産又は管理策の弱点」は、脆弱性の定義です。
• イ: 正解です。リスクレベルの定義です。
• ウ: 「対応すべきリスクに付与する優先順位」は、リスク評価のプロセスにおいて算出したリスクレベルとリスク基準を比較して決定されるものであり、特定の用語単独の定義ではありません。
• エ: 「リスクの重大性を評価するために目安とする条件」は、リスク基準の定義です。