午前I問題
情報セキュリティにおける「リスク」の考え方として、JIS Q 27000の概念に最も合致するものはどれか。
ア）リスクは脅威と同義であり、自然災害・攻撃者・内部不正など組織に害を与えうる事象そのものを指す。
イ）リスクは「脅威が脆弱性を悪用する可能性」と「その結果として生じる影響の大きさ」の組合せによって評価される。
ウ）リスクは発生頻度のみを用いて算定し、被害の大きさはインシデント対応フェーズで別途考慮すればよい。
エ）リスクとはシステムの欠陥（バグや設定ミス）のことであり、パッチ適用と設定修正によって完全に排除できる。
午前I の解答・解説を見る
正解： イ
解説：
- ア（誤） これは「脅威（Threat）」の説明。JIS Q 27000ではリスクは「目的に対する不確かさの影響」と定義され、脅威そのものとは区別される。
- イ（正） 正しい。JIS Q 27001/27005に基づくリスク算定では、脅威の発生可能性・資産の脆弱性・影響度を組み合わせてリスクを評価する。
- ウ（誤） リスク評価では発生確率（可能性）と影響度の両方を必ず考慮しなければならない。頻度だけでは不十分。
- エ（誤） これは「脆弱性（Vulnerability）」の一側面の説明。フィッシングや内部不正など技術的パッチで対処できない脅威も多く、リスクをゼロにすることは不可能。
午前II問題
JIS Q 27005（情報セキュリティリスクマネジメント）に基づくリスクアセスメントの実施手順として、正しい順序はどれか。
ア）資産の特定と価値評価 → 脅威・脆弱性の特定 → リスクの算定 → リスク評価（許容基準との比較）
イ）脅威・脆弱性の特定 → 資産の特定と価値評価 → リスクの算定 → リスク評価（許容基準との比較）
ウ）リスク評価（許容基準との比較） → 資産の特定と価値評価 → 脅威・脆弱性の特定 → リスクの算定
エ）リスクの算定 → 脅威・脆弱性の特定 → 資産の特定と価値評価 → リスク評価（許容基準との比較）
午前II の解答・解説を見る
正解： ア
解説：
JIS Q 27005が規定するリスクアセスメントの標準的な手順は以下のとおり。
- 資産の特定と価値評価：情報・システム・施設など保護すべき対象と重要度（CIAへの影響）を確認する。
- 脅威・脆弱性の特定：各資産に対してどのような脅威が存在し、どのような脆弱性があるかを列挙する。
- リスクの算定：脅威の発生可能性・脆弱性の深刻度・資産価値から定性的または定量的にリスクを数値化する。
- リスク評価：算定したリスク値を組織の許容基準と比較し、対応が必要かどうかを判定する。
- イ（誤） 資産の洗い出しより前に脅威・脆弱性を特定することはできない。対象資産がなければ何の脅威を評価すべきかが定まらない。
- ウ（誤） リスク評価はリスク算定の後に行う。評価の前提となる数値が存在しなければ許容基準との比較はできない。
- エ（誤） リスクの算定は資産・脅威・脆弱性がすべて識別された後でなければ実施できない。
午後問題
中堅製造業であるA社（従業員500名）は、設計図面や製造ノウハウを含む機密情報をオンプレミスの設計データ管理システムと社内メールシステムで管理している。最近、同業他社でランサムウェア攻撃により製造ラインが3日間停止し、復旧費用として数億円の損害が発生したことが業界紙で報じられた。A社の情報セキュリティ担当者B氏は、経営会議の指示を受け、JIS Q 27005に準拠した年次リスクアセスメントを実施することになった。B氏は主要な情報資産として以下の3つを特定した。
| 資産 | 説明 | 機密性 | 完全性 | 可用性 |
|---|---|---|---|---|
| 設計データ管理システム | CAD図面・製造ノウハウを格納 | 高 | 高 | 中 |
| 基幹ERPシステム | 受発注・在庫・会計データを管理 | 中 | 高 | 高 |
| 社内メールシステム | 社内外のコミュニケーション用 | 中 | 中 | 高 |
調査の結果、設計データ管理システムのサーバはセキュリティパッチ適用が3か月遅延しており（脆弱性あり）、ランサムウェアの脅威に対するリスクが高いと判断された。
設問1
B氏がランサムウェア感染リスクを算定する際に考慮すべき要素を3つ挙げ、それぞれ25字以内で説明せよ。
設問1の解答・解説を見る
正解例：
- 脅威の発生可能性（確率・頻度）：ランサムウェア攻撃が実際に発生する頻度や確率（24字）
- 脆弱性の深刻度：パッチ未適用などシステムの弱点がどれだけ悪用されやすいか（25字）
- 資産の重要度（影響度）：感染時に生じる業務停止・情報漏えい等の損害の大きさ（24字）
解説：
JIS Q 27005のリスク算定は概念的に「リスク ＝ 脅威の発生可能性 × 脆弱性の深刻度 × 資産の重要度（影響度）」で表される。
- 脅威の発生可能性：同業他社での攻撃事例や業種・知名度・外部露出度などを参照して評価する。
- 脆弱性の深刻度：CVSSスコアやパッチ遅延期間（本問では3か月）から算定する。未適用期間が長いほど悪用リスクが高い。
- 資産の重要度：CIAトライアドに基づき評価する。設計データ管理システムは機密性・完全性が「高」であり、感染時の製造停止・技術情報流出の影響が大きい。
採点基準（各4点 計12点）：3要素のうち2つ正答で8点、1つで4点。「確率・可能性」「脆弱性・弱点」「影響・損害」のキーワードが含まれれば部分点可。
設問2
B氏はランサムウェア感染リスクに対して「リスク低減」と「リスク移転」の2種類の対応策を組み合わせることにした。それぞれの対応策の具体例を1つずつ挙げよ（各30字以内）。
設問2の解答・解説を見る
正解例：
- リスク低減：設計データの定期的なオフラインバックアップを実施し感染時の復旧時間を短縮する。（または：EDRを導入しランサムウェアの実行を早期に検知・遮断する。）
- リスク移転：サイバー保険に加入し、ランサムウェア被害による復旧費用・損害賠償を補償対象とする。
解説：
リスク対応の4選択肢（JIS Q 27005）の整理：
| 対応策 | 概要 | 本問での具体例 |
|---|---|---|
| リスク低減（軽減） | 発生確率や影響度を下げる技術・管理的対策 | バックアップ整備、EDR導入、パッチ管理強化 |
| リスク移転（共有） | 損失を第三者と分担するしくみ | サイバー保険加入、セキュリティ運用のアウトソーシング |
| リスク回避 | リスク源となる活動を中止・除去 | インターネット接続の遮断（現実的でない場合が多い） |
| リスク保有（受容） | 許容範囲内として意図的に受け入れる | 低重要度資産への投資見送り |
採点基準（各6点 計12点）：「リスク低減」は技術的または管理的な予防・検知・回復対策の具体例があれば正答。「リスク移転」は損失を外部へ移す手段（保険・アウトソーシング等）の具体例があれば正答。対応策の分類名のみで具体例がない場合は部分点（3点）。
重要キーワード
| 用語 | 説明 |
|---|---|
| ISMS | 情報セキュリティマネジメントシステム。ISO/IEC 27001に基づき、組織の情報資産を継続的に管理・改善するPDCAの枠組み。 |
| リスクアセスメント | 資産の特定・脅威と脆弱性の特定・リスクの算定・リスク評価を行う一連のプロセス。年次など定期的に実施する。 |
| 残留リスク | リスク対応策を講じた後もなお残るリスク。ゼロにすることは不可能であり、経営者が許容レベルを承認する必要がある。 |
| ALE（年間予想損失額） | Annual Loss Expectancy。定量的リスク評価で用いる指標。ALE＝単一損失予想額（SLE）×年間発生率（ARO）で算出する。 |
| リスク移転 | サイバー保険の加入や業務アウトソーシングによって、リスクによる損失を第三者と分担するリスク対応策。 |
| 脆弱性（Vulnerability） | 脅威が悪用できるシステムや組織の弱点。パッチ未適用・設定ミス・人的ミスなどが代表例。脅威とは区別される概念。 |
まとめ
- 午前I視点： リスクは「脅威×脆弱性×影響」という基本概念を押さえ、脅威・脆弱性・資産それぞれの定義の違いを正確に理解する。
- 午前II視点： JIS Q 27005の「資産特定→脅威・脆弱性特定→リスク算定→リスク評価」の順序と各ステップの目的を確実に記憶する。
- 午後視点： リスク対応の4選択肢（低減・移転・回避・保有）をシナリオに応じて使い分け、具体的な施策名とその効果を記述できるよう訓練する。