令和4年度 春期 応用情報技術者試験 午前 問43
テクノロジ／セキュリティJIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。
出典：令和4年度 春期 応用情報技術者試験 午前 問43
- ア脅威によって付け込まれる可能性のある，資産又は管理策の弱点
- イ結果とその起こりやすさの組合せとして表現される，リスクの大きさ
- ウ対応すべきリスクに付与する優先順位
- エリスクの重大性を評価するために目安とする条件
正解：イ
解説
JIS Q 27000:2019 において，リスクレベルは「結果とその起こりやすさの組合せとして表現される，リスクの大きさ」と定義されています。影響の大きさ（結果）と発生可能性の両方でリスクの大きさを表す考え方です。
選択肢ごとの解説
- ア誤り。脅威によって付け込まれる可能性のある資産又は管理策の弱点は「脆弱性」の定義です。
- イ正しい。リスクレベルは結果とその起こりやすさの組合せとして表現されるリスクの大きさです。
- ウ誤り。対応すべきリスクに付与する優先順位は，リスクレベルの定義ではありません。リスク評価の結果として決めるものです。
- エ誤り。リスクの重大性を評価する目安とする条件は「リスク基準」の定義です。