分野 S｜セキュリティ 重点分野
情報資産とリスクアセスメント（台帳・リスクレベル）
今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『2 リスクマネジメント／情報資産とリスク』『2 リスクマネジメント／情報セキュリティリスクアセスメント』
最終更新
問われ方
- JIS Q 31000 のリスクアセスメントの3つのプロセスや意義を選ぶ形
- JIS Q 27000 の用語（リスクレベルなど）の定義を選ぶ形
- 問われるとしたら：台帳を作る・見直す場面で適切な扱いを選ぶ形
- 問われるとしたら：リスク所有者を、権限と責任から選ぶ形
- 問われるとしたら：状況に合う分析（定性的か定量的か）を選ぶ形
覚えること
- 情報資産：組織にとって価値があるもの。電子データ、書類、機器など
- 情報資産台帳：何を、どこで、だれが使うかと重要度を一覧にしたもの
- 台帳は作って終わりにせず、購入・廃棄・更新のたびに見直す
- 重要度は、漏えい・改ざん・利用不能が起きた時の事業への影響で判断
- リスクの種類の例：オペレーショナルリスク、サプライチェーンリスク、
- 外部サービス利用のリスク、SNS による情報発信のリスク、地政学的リスク
- リスク源：リスクを生じさせる力を本来もつ要素
- リスクアセスメント：リスク特定、リスク分析、リスク評価の全体
- リスク特定：リスクを発見し、認識し、記述する
- リスク分析：リスクの特質を理解し、リスクレベルを決める
- リスクレベル：結果（影響の大きさ）とその起こりやすさの組合せで表す大きさ
- リスク評価：分析の結果をリスク基準と比べ、受容できるか決める
- リスク基準：リスクの重大性を評価する目安とする条件（受容基準を含む）
- リスクマトリックス：結果と起こりやすさの段階を縦横に並べた表
- リスク所有者：リスクの運用管理に説明責任と権限をもつ人又は主体
- 所有者には、取扱いを決める権限と説明責任をもつ者を充てる（作業の担当者ではない）
- 定性的分析：大・中・小などの段階で表す。金額の根拠が乏しい時に向く
- 定量的分析：金額や確率などの数値で表す。数値の根拠になるデータが要る
- リスク態度：リスクを追求する、保有する、取る又は避ける組織の取組み
- リスク選好：組織が追求又は保有する意思があるリスクの量及び種類
- リスク態度の用語例には、リスク回避的態度もある
ひっかけ
- リスク分析（大きさを決める）とリスク評価（基準と比べる）の取りちがえ
- リスク態度（取組み方）とリスク選好（量と種類）の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
情報資産台帳に記載する顧客リストのリスク所有者として、最も適切な者はどれか。
A 社の情報セキュリティ管理者の B さんは、リスク所有者を、情報資産台帳に登録している。営業部の顧客リストは、営業部が取扱いの方法を決めて利用している。保存先のサーバーは、情報システム部が営業部の依頼を受けて運用している。年次のリスクアセスメントの事務は、情報セキュリティ委員会の事務局が担当している。
正解：ア 顧客リストの取扱いを決めて利用する営業部の部長
ポイント
リスク所有者を、権限と責任から選ぶ問題です。
考え方と解き方
リスク所有者は、作業をする人ではなく、リスクの運用管理に説明責任と権限をもつ人又は主体です。管理者の立場では、台帳の担当者名ではなく、取扱いを決める人はだれかを先に考えます。
- 顧客リストの取扱いを決めているのは営業部なので、リスクへの対応を決める権限と、結果への説明責任は営業部の部長にあります。
- サーバーの運用や、アセスメントの事務は、作業の分担です。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 保存サーバーを運用する担当者は、運用の作業をする立場です。取扱いを決める権限は営業部にあるので、所有者としては適切ではありません。
- ウ 事務局はアセスメントを進める役割です。個々の資産のリスクを運用管理する説明責任と権限はもたないので、適切ではありません。
- エ 一般の従業員は、決められた取扱いに従って利用する立場です。リスクへの対応を決める権限をもたないので、適切ではありません。
覚えておくこと
- リスク所有者：リスクの運用管理に説明責任と権限をもつ人又は主体
- 所有者には、取扱いを決める権限と説明責任をもつ者を充てる（作業の担当者ではない）
（テーマ・覚えること）
情報資産台帳の作り方と使い方として、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、初めて情報資産台帳を作ることにし、方針を次の a〜c にまとめた。
- a 業務で利用する電子データや書類も、台帳に記入する。
- b 重要度は、資産の購入金額が大きい順に付ける。
- c 重要度は、漏えいや改ざんなどが起きた時の事業への影響から判断する。
正解：ウ a、c
ポイント
情報資産台帳の作り方と見直しを問う問題です。
考え方と解き方
台帳は、機器の一覧だけでなく、業務で使う電子データや書類まで含めて、何をどこでだれが使うかを把握するものです。重要度は、金額ではなく事業への影響で決めます。
- a は適切です。電子データや書類も、業務で利用するものは台帳に記入します。b は不適切です。重要度は、購入金額ではなく、事業への影響から判断します。c は適切です。重要度は、事業への影響の観点から判断します。
- したがって、適切なのは a、c の全てで、ウ です。
ほかの選択肢
- ア b は不適切なので含められません。また、c も適切なので、a、b では組合せが合いません。
- イ b は不適切なので、a、b、c の全てとはなりません。
- エ b は不適切です。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- 情報資産：組織にとって価値があるもの。電子データ、書類、機器など
- 重要度は、漏えい・改ざん・利用不能が起きた時の事業への影響で判断
（テーマ・覚えること）
D さんがリスク分析に用いる方法として、最も適切なものはどれか。
従業員 40 人の C 社で、情報セキュリティ担当の D さんは、全部門の情報資産についてリスクアセスメントを今期中に終えることにした。過去の事故の記録や損失額の統計はなく、今期中に全部門の資産を比べたい。各部門へのヒアリングで聞き取れるのは、大まかな状況だけである。
正解：イ 結果と起こりやすさの段階をリスクマトリックスに当てはめ、リスクレベルを決める定性的分析
ポイント
状況に合うリスク分析の方法を選ぶ問題です。
考え方と解き方
定量的分析は、金額や確率の根拠になるデータが要ります。データが乏しい時は、段階で表す定性的分析で全体をそろえて比べます。この立場なら、手元の情報で全部門を比べられる方法を先に考えます。
- 損失額や発生回数のデータがなく、聞き取れるのも大まかな状況だけなので、段階で表す定性的分析が合います。
- リスクレベルは、結果と起こりやすさの組合せで決めるので、2つの軸を持つリスクマトリックスに当てはめます。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 根拠のある金額を出せないので、この状況には合いません。
- ウ 過去 10 年分の発生回数の記録がなく、確率の根拠を出せないので、この状況には合いません。
- エ リスクレベルは結果と起こりやすさの組合せなので、起こりやすさを回すと決められません。また、全部門の資産を比べる目的にも合いません。
覚えておくこと
- 定性的分析：大・中・小などの段階で表す。金額の根拠が乏しい時に向く
- 定量的分析：金額や確率などの数値で表す。数値の根拠になるデータが要る
- リスクマトリックス：結果と起こりやすさの段階を縦横に並べた表
（テーマ・覚えること）
JIS Q 0073 及び JIS Q 31000 におけるリスクアセスメントに関わる用語の説明として、最も適切なものはどれか。
正解：エ リスク基準は、リスク評価で分析の結果と比べる、重大性の目安である。
ポイント
リスクアセスメントに関わる用語を取りちがえずに選ぶ問題です。
考え方と解き方
似た用語は、役割で区別します。特定は見つける、分析は大きさを決める、評価は基準と比べる、です。基準は比べるための目安、選好は組織が持つ意思があるリスクの量と種類です。
- リスク基準は、リスクの重大性を評価する目安とする条件で、リスク評価で分析の結果と比べるために使います。
- 他の説明は、別の用語の説明か、定義と異なります。したがって、最も適切なのは エ です。
ほかの選択肢
- ア 大きさを決めるのはリスク分析です。リスク特定は、リスクを発見し、認識し、記述する段階です。
- イ リスクレベルは、結果と起こりやすさの組合せで表すリスクの大きさです。リスク源の数を数えた値ではありません。
- ウ 取組み方はリスク態度の説明です。リスク選好は、組織が追求又は保有する意思があるリスクの量及び種類です。
覚えておくこと
- リスク基準：リスクの重大性を評価する目安とする条件（受容基準を含む）
- リスク特定：リスクを発見し、認識し、記述する
- リスク選好：組織が追求又は保有する意思があるリスクの量及び種類
（テーマ・覚えること）
このテーマの過去問
- 令和7年度 問1JISQ31000:2019（リスクマネジメ…科目A（四択）
- 令和6年度 問1JISQ31000:2019（リスクマネジメ…科目A（四択）・まずこの1問
- サンプル問題（2022年12月） 問5JISQ27000:2019（情報セキュリテ…科目A（四択）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。