平成29年度 春期 ITパスポート試験 問83

解説

正解は3です。 ISMS（Information Security Management System）のリスク特定では、ISMSの適用範囲内にある情報について、機密性、完全性、可用性が損なわれるリスクを洗い出します。 【選択肢別解説】 1：× bの完全性は適切ですが、リスクを特定するのはISMSの適用範囲内の情報です。 適用範囲外は対象になりません。 2：× aの適用範囲外が誤りです。 また、bの脆弱性は情報セキュリティの三要素ではなく、脅威に付け込まれる弱点のことです。 3：○ ISMSの適用範囲内の情報について、機密性、完全性、可用性の喪失に伴うリスクを特定するので、この組合せが適切です。 4：× aの適用範囲内は適切ですが、bの脆弱性は三要素の一つではないので誤りです。 【ポイント】 ISMSでは、まず適用範囲を決め、その範囲の中でリスクアセスメントを行います。 情報セキュリティの三要素は、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）です。