情報セキュリティマネジメント試験 練習問題 2：リスク評価と分析

リスク評価はセキュリティ対策の優先順位付けに不可欠です。

リスクの定義：
リスク = 脅威が脆弱性を悪用する可能性 × 発生時の影響度

より簡潔には：「リスク = 脅威 × 脆弱性」で考えられることが多いです。

脅威（Threat）：
組織に害をもたらす可能性のある事象や主体のことです。例：ハッカー、自然災害、内部者による不正行為、ウイルス。脆弱性がなくても脅威は存在します。

脆弱性（Vulnerability）：
システムやプロセスの弱点です。脅威がこの脆弱性を利用（悪用）することでリスクが現実化します。

正しいのは「脆弱性（Vulnerability）は、システムの弱点であり、脅威から悪用される可能性がある」です。

リスク評価のプロセス：
1. 資産の特定と価値評価
2. 脅威の特定
3. 脆弱性の特定
4. リスクの評価と優先順付け
5. 対策の検討と実施
6. 監視と定期的見直し

リスク評価は一度限りではなく、定期的に実施する必要があります。新しい脅威や脆弱性は常に発生するためです。また、すべてのリスクに同じレベルの対策は不経済です。優先順位を付けて、重要度の高いものから対策します。