情報セキュリティマネジメント　④ 情報セキュリティ管理

組織としてリスクにどう向き合うかを学ぶマネジメント分野です。JIS Q 31000などに基づくリスクの定義、リスクアセスメント（特定・分析・評価）の流れ、リスク対応（回避・低減・移転・保有）の考え方が中心です。ベースラインアプローチや詳細リスク分析などのリスク分析手法、リスク受容基準、情報資産の重要度評価も問われます。ISMS（情報セキュリティマネジメントシステム）やPDCAサイクルとあわせ、「技術ではなく仕組みで守る」視点を、用語の定義と手順の順序を軸に整理していきましょう。

この分野の問題42問を、選択肢・正解・解説つきで掲載しています。まず自分で解答を考えてから「正解と解説を見る」を開いて答え合わせをしてください。

クイズモードで挑戦 →

第121問JIS Q 31000において、リスクはどのように定義されているか。

A情報資産に何かしらの悪いことが起きる可能性のみを指す
Bシステムや組織が持つ弱点
C情報資産を脅かすものの総称
D目的に対する不確かさの影響

正解と解説を見る

正解：D．目的に対する不確かさの影響

JIS Q 31000では「目的に対する不確かさの影響」と定義されており、ネガティブな影響だけでなくポジティブな影響も含む。

情報セキュリティマネジメント ④ 情報セキュリティ管理

第121問JIS Q 31000において、リスクはどのように定義されているか。

第122問リスクレベルは、どの2つの要素の組み合わせによって表現されるか。

第123問リスクの管理について権限を持ち、リスクが現実に起こった場合にその責任を取る人のことを何と呼ぶか。

第124問情報セキュリティリスクを生じさせる要因について、不適切な説明はどれか。

第125問リスクアセスメントを実施する際の正しいプロセスの順序はどれか。

第126問リスクアセスメントの「準備」プロセスで行う作業として適切なものはどれか。

第127問情報資産の重要度を決定する際、一般的に評価基準として用いられる「情報セキュリティの3要素」の組み合わせはどれか。

第128問リスク分析手法のうち「ベースラインアプローチ」の特徴として適切なものはどれか。

第129問リスク分析手法に関する説明のうち、不適切なものはどれか。

第130問どのくらいのリスクレベルであればリスク対応を行うのかという基準のことを何と呼ぶか。

第131問リスクレベルが大きいと評価した情報システムを使用するサービスの提供をやめる、といった対応はどれに該当するか。

第132問ある企業が、自社のECサイトを運営するサーバの故障に備え、予備のサーバを準備して冗長化を図った。この対応はリスク対応のどの手法に該当するか。

第133問データセンターの災害リスクに備え、設備の拠点を国内の複数地域に分けて設置した。この対応はどれに該当するか。

第134問リスク対応後に残る「残留リスク」に関する説明として正しいものはどれか。

第135問リスク対応のうち「リスクファイナンシング」に該当する対応はどれか。

第136問情報セキュリティ管理を適切に行うための枠組みである「ISMS」は、どの規格シリーズによって規格化されているか。

第137問ある企業が、ISMSのPDCAサイクルの一環として「セキュリティ教育の実施」と「アクセス権限の定期見直し」を運用し始めた。これはPDCAのどのステップに該当するか。

第138問組織における情報セキュリティを統括する責任者としての役割を担い、経営層としてのリーダーシップも求められる役職はどれか。

第139問情報セキュリティポリシーを構成する3つの文書の組み合わせとして正しいものはどれか。

第140問情報セキュリティポリシーを構成する文書の取り扱いに関する説明のうち、誤っているものはどれか。

第141問情報セキュリティポリシーにおける「基本方針」を策定する役割を担うのは誰か。

第142問情報システムの利用者からの問い合わせや障害対応において、一次担当者だけでは解決できない場合に、上位の担当者や管理者に引き継ぐことを何というか。

第143問不適合が発生した場合にその原因を除去し、再発を防止するための対策や取り組みのことを何と呼ぶか。

第144問情報セキュリティ事象とインシデントに関する記述のうち、最も適切なものはどれか。

第145問マルウェア感染が疑われるPCが発見された際、被害を抑えるためにそのPCをネットワークから切断した。この対応は、インシデント対応のどの段階に該当するか。

第146問専門家が実際にシステムに対して侵入を試みることで、脆弱性の有無を確認するテストを何というか。

第147問開発中のソフトウェアに対し、専用のツールを用いてランダムで異常なデータを大量に入力し、予期せぬエラーが起きないかテストした。この手法はどれか。

第148問情報セキュリティにおける脆弱性を評価するための国際的に統一された基準であり、深刻度を0.0から10.0のスコアで表すものはどれか。

第149問脆弱性情報に関連する用語のうち、各脆弱性に割り当てられる「世界で一意のID」を指すものはどれか。

第150問脆弱性に関する用語とその説明の組み合わせとして、誤っているものはどれか。

第151問ソフトウェアがどのようなコンポーネント（部品）から作られているのかを整理した一覧表であり、脆弱性発見時の影響範囲把握に役立つものはどれか。

第152問自社のECサイトでクレジットカード決済を安全に処理するために、業界全体で一貫されたセキュリティ要件を満たしたい。参考とすべき基準はどれか。

第153問省庁などの政府機関が新たなクラウドサービスを導入する際、政府が求めるセキュリティ要求を満たしているかを確認するための制度はどれか。

第154問情報セキュリティ監査などにおいて、別の部署の従業員や外部の専門家など、中立の立場にある人が行う評価方法を何というか。

第155問「事業継続計画（BCP）」と「緊急時対応計画（コンティンジェンシー計画）」の違いとして適切なものはどれか。

第156問組織内で発生した情報セキュリティインシデントへの対応を行う組織の総称であり、復旧対応や原因究明などを担うものはどれか。

第157問情報セキュリティ組織に関する説明のうち、不適切なものはどれか。

第158問インターネットに接続できるIoT家電を開発している企業が、製品出荷後に発見される脆弱性やインシデントに専門的に対応するためのチームを新設した。この組織の名称として最も適切なものはどれか。

第159問金融機関同士が、互いに検知したサイバー攻撃の手口や脅威情報を共有し、業界全体のセキュリティレベルを向上させるために連携する組織の枠組みはどれか。

第160問日本の政府機関に対するサイバー攻撃の監視や、重大事象が発生した際の原因究明調査を実施するため、2025年にNISCを改組して内閣官房に設置された組織はどれか。

第161問情報処理推進機構（IPA）の内部組織であり、標的型サイバー攻撃に対する相談窓口を運営し、被害の低減や攻撃の連鎖を断ち切る支援を行う組織はどれか。

第162問ISP（プロバイダ）が連携し、パスワードが初期設定のままなど危険な状態にあるIoT機器を調査し、利用者に注意喚起を行う取り組みはどれか。

情報セキュリティマネジメント　④ 情報セキュリティ管理