情報セキュリティ管理定義
情報セキュリティマネジメントにおいて、リスクの大きさを表す基本的な考え方として、最も適切なものはどれか。
A.リスク = 脅威の発生可能性（尤度）× 影響度← 正解
✓ 正解です。リスクの大きさは「脅威の発生可能性（尤度）×影響度（被害の大きさ）」として定義されるのが一般的であり、ISO/IEC 27005やNIST SP 800-30でも採用されている基本的な考え方です。
B.リスク = 資産価値 ÷ 脆弱性の数
✗ 資産価値を脆弱性の数で割る方式は標準的なリスク評価の定義ではありません。脆弱性の数が増えればリスクが下がるという誤った解釈を生じさせます。
C.リスク = 脅威の種類 + 対策の数
✗ 脅威の種類と対策の数を加算してもリスクの大きさを定量的に評価することはできません。
D.リスク = 脆弱性 − 対策効果
✗ リスクから対策効果を減算する方法は対策後の残存リスクの概念に近いですが、リスクそのものの基本的な定義ではありません。
この問題のポイント
リスクの大きさは「脅威の発生可能性（尤度）×影響度（被害の大きさ）」として定義されるのが一般的であり、ISO/IEC 27005やNIST SP 800-30でも採用されている基本的な考え方です。