情報セキュリティのリスクアセスメントにおける，資産価値，脅威，脆弱性及び リスクの大きさの関係として，適切なものはどれか。
- ア脅威の大きさは，資産価値，脆弱性及びリスクの大きさによって決まる。
- イ資産価値の大きさは，脅威，脆弱性及びリスクの大きさによって決まる。
- ウ脆弱性の大きさは，資産価値，脅威及びリスクの大きさによって決まる。
- エリスクの大きさは，資産価値，脅威及び脆弱性の大きさによって決まる。
正解と解説を見る
正解
エ リスクの大きさは，資産価値，脅威及び脆弱性の大きさによって決まる。
情報セキュリティにおけるリスクの大きさは、守るべき情報資産の価値(資産価値)、その資産に対する脅威の大きさ、そして資産が持つ弱点である脆弱性の大きさという3つの要素の組合せによって決まると考えるのが一般的であり、正解は「リスクの大きさは、資産価値、脅威及び脆弱性の大きさによって決まる。」である。他の選択肢は、脅威や資産価値、脆弱性といった各要素をあたかも他の要素やリスクの大きさから逆に決まるかのように記述しており、リスクアセスメントにおける「資産価値・脅威・脆弱性→リスク」という因果関係の向きを取り違えている。リスクはこれら3要素の掛け合わせとして評価される、という考え方を押さえておくとよい。