応用情報技術者 予想問題｜テクノロジ 第49問

解説

情報セキュリティのリスクアセスメントでは、リスクの大きさを「資産価値×脅威×脆弱性」の組合せで評価するのが一般的である。守るべき情報資産の価値が高いほど、その資産を狙う脅威（攻撃や災害など）の発生可能性が大きいほど、そして付け込まれる脆弱性（管理・技術上の弱点）が残っているほど、リスクは大きくなる。3要素は掛け算の関係にあるため、どれか1つでも小さくできればリスク全体を下げられる点が管理上の要点である。脅威と脆弱性の単純な足し算では資産の重要度が反映されない。損害額÷発生確率や損失−利益という式は、リスク評価の定義として用いられない。「資産・脅威・脆弱性の3点セット」はISMS（ISO/IEC 27001）のリスクアセスメントでも基本となる考え方として覚えておく。