平成29年度 春期 ITパスポート 問83

正解 ウ

リスクを特定する対象はISMSの適用範囲内の情報で、機密性・完全性・可用性の喪失に伴うリスクを特定します。

ISMS（Information Security Management System）は、組織があらかじめ定めた適用範囲の中で運用するしくみです。そのため、リスクを特定する対象は適用範囲内の情報になります。情報セキュリティの3要素は、機密性、完全性、可用性です。完全性は、情報が正確で、改ざんや欠落がない状態を保つことです。JIS Q 27001でも、適用範囲内の情報の機密性、完全性及び可用性の喪失に伴うリスクを特定することが定められています。

ア：bの完全性は正しいです。ただし、ISMSでリスクを特定する対象は適用範囲内の情報で、適用範囲外ではありません。

イ：リスクを特定する対象は適用範囲内の情報です。また、脆弱性は脅威につけ込まれる弱点のことで、情報セキュリティの3要素ではありません。

エ：aの適用範囲内は正しいです。ただし、脆弱性は脅威につけ込まれる弱点のことで、3要素に入るのは完全性です。

出典：平成29年度 春期 ITパスポート試験 問83