平成31年度 春期 基本情報技術者試験 午前 問41
テクノロジ／セキュリティJIS Q 27000:2014（情報セキュリティマネジメントシステム−用語）における“リスクレベル”の定義はどれか。
出典：平成31年度 春期 基本情報技術者試験 午前 問41
- ア脅威によって付け込まれる可能性のある，資産又は管理策の弱点
- イ結果とその起こりやすさの組合せとして表現される，リスクの大きさ
- ウ対応すべきリスクに付与する優先順位
- エリスクの重大性を評価するために目安とする条件
正解：イ
解説
JIS Q 27000では，リスクは「目的に対する不確かさの影響」と定義され，リスクレベルはそのリスクの結果（影響の大きさ）と起こりやすさを組み合わせて表現される，リスクの大きさのことを指します。
選択肢ごとの解説
- ア誤り。脅威によって付け込まれる可能性のある資産や管理策の弱点は，「脆弱性」の定義です。
- イ正しい。リスクレベルは，結果とその起こりやすさの組合せとして表現される，リスクの大きさのことです。
- ウ誤り。対応すべきリスクに付与する優先順位は，リスク対応の検討結果であり，リスクレベルそのものの定義ではありません。
- エ誤り。リスクの重大性を評価するために目安とする条件は，「リスク基準」の定義です。