マネジメント・システム監査定義問題
ISO/IEC 27001に基づく情報セキュリティマネジメントシステム（ISMS）において、「リスク」の定義として最も適切なものはどれか。
A.脅威が現れる可能性だけを指す用語
✗ リスクは可能性だけではなく、脅威と脆弱性の組み合わせ、そして資産価値も含めた総合的な概念です。
B.脅威、脆弱性、および資産の価値の組み合わせによって生じる悪影響の可能性← 正解
✓ 正解です。ISO/IEC 27001ではリスクを脅威×脆弱性×資産価値の相互作用から生じる悪影響の可能性と定義します。
C.セキュリティ対策に要する費用の総額
✗ セキュリティ対策費用はリスク対応の結果ですが、リスク自体の定義ではありません。
D.過去に発生したセキュリティインシデントの統計データ
✗ 過去のインシデント統計はリスク評価の参考情報ですが、リスク自体の定義ではありません。