平成21年度 春期 午前Ⅱ 問21

✓ これが正解ウリスク分析では，現実に発生すれば損失をもたらすリスクが，情報システムのどこに，どのように潜在しているかを識別し，その影響の大きさを測定する。

解説

リスク分析は、潜在するリスクを識別し、その影響の大きさを測定します。

リスク分析は、情報システムのどこにどのようなリスクが潜んでいるかを洗い出し、それが現実になったときの影響の大きさを測る作業です。見分ける軸は、それぞれの記述がリスクの種類、損失額の求め方、分析の目的のどれを正しく述べているかです。正しいのは、損失をもたらすリスクが情報システムのどこに、どのように潜在しているかを識別し、影響の大きさを測定するという説明で、識別と測定という分析の二つの柱がそろっています。リスクを金額で評価するときは、損失の大きさに発生の頻度を掛け合わせて考える点も押さえておきましょう。識別してから大きさを測る、という順で覚えると、分析の説明を見分けられます。

ほかの選択肢はなぜ違うのか

• アリスクには，投機的リスクと純粋リスクとが…：リスクには投機的リスクと純粋リスクがありますが、情報セキュリティのリスク分析で扱うのは、損失だけをもたらす純粋リスクのほうです。利益を生む可能性もある投機的リスクを対象とする説明は、扱う種類が逆になっています。
• イリスクの予想損失額は，損害予防のために投…：損害予防のために投入するコストは、損失を減らすための対策の費用であり、リスクが現実になったときの予想損失額そのものではありません。対策に掛ける費用と損失の見込みとを一緒にした説明になっています。
• エリスクを金額で測定するリスク評価額は，損…：金額で表すリスクの大きさは、1回当たりの損失額だけでは決まらず、どれくらいの頻度で起きるかも合わせて評価します。1回当たりの平均予想損失額で表すという説明は、発生の頻度という要素が抜けています。