必ず受かる情報処理技術者試験

当サイトは、情報処理技術者試験に合格するためのWebサイトです。
ITパスポート試験，基本情報技術者,応用情報技術者,高度試験の過去問題と解答及び詳細な解説を掲載しています。
  1. トップページ
  2. 情報セキュリティスペシャリスト
  3. 平成22年度秋季問題一覧
  4. 平成22年度秋季問題5-解答・解説-分析

平成22年度秋季問題

問題5

JIS Q 27001：2006における情報システムのリスクとその評価に関する記述のうち、適切なものはどれか。

ア 脅威とは、脆弱性が顕在化する確率のことであり、情報システムに組み込まれた技術的管理策によって決まる。
イ 脆弱性とは、情報システムに対して悪い影響を与える要因のことであり、自然災害、システム障害、人為的過失及び不正行為に大別される。
ウ リスクの特定では、脅威が情報資産の脆弱性に付け込み、情報資産に与える影響を特定する。
エ リスク評価では、リスク回避とリスク低減の二つに評価を分類し、リスクの大きさを判断して決める。

JIS Q 27001：2006における情報システムのリスクとその評価に関する記述のうち、適切なものはどれか。

ア 脅威とは、脆弱性が顕在化する確率のことであり、情報システムに組み込まれた技術的管理策によって決まる。
イ 脆弱性とは、情報システムに対して悪い影響を与える要因のことであり、自然災害、システム障害、人為的過失及び不正行為に大別される。
ウ リスクの特定では、脅威が情報資産の脆弱性に付け込み、情報資産に与える影響を特定する。
エ リスク評価では、リスク回避とリスク低減の二つに評価を分類し、リスクの大きさを判断して決める。

解答：ウ

＜解説＞

脅威
システム又は組織に損害を与える可能性があるインシデントの潜在的な原因
脆弱性
一つ以上の脅威が付け込むことができる，資産又は資産グループがもつ弱点
リスク
ある脅威が資産又は資産グループの脆弱性に付け込み、そのことによって組織に損害を与える可能性。
ア × リスクとは、脆弱性が顕在化する確率のことであり、情報システムに組み込まれた技術的管理策によって決まる。
イ × 脅威とは、情報システムに対して悪い影響を与える要因のことであり、自然災害、システム障害、人為的過失及び不正行為に大別される。
ウ ○ リスクの特定では、脅威が情報資産の脆弱性に付け込み、情報資産に与える影響を特定する。
エ × リスク対策では、リスク回避とリスク低減の二つに評価を分類し、リスクの大きさを判断して決める。

キーワード