ITパスポート｜ISMS・リスクマネジメントの確認問題

この問題は、解説記事「ISMSとは？情報セキュリティの要素7つ」の腕だめしです。まず2問、解いてみましょう。解説記事はこちら↓

無料サンプル（腕だめし2問）

問1 ［基礎］

シラバスVer.6.5の用語例に示されている「情報セキュリティの要素」の組合せとして、適切なものはどれか。

ア．機密性、完全性、可用性
イ．機密性、完全性、可用性、保守性
ウ．機密性、完全性、可用性、真正性、責任追跡性、否認防止、信頼性
エ．機密性、完全性、可用性、経済性、独創性

正解：ウ

解説
シラバスVer.6.5の小分類62(2)の用語例には、7つが括弧の中に並んでいます（2026年7月時点）。機密性・完全性・可用性・真正性・責任追跡性・否認防止・信頼性。「え、3つじゃないの？」と思った方、ここが今回いちばんの持ち帰りポイントですよ。よく聞くあの3つは、7つの先頭3つだったんですね。

• ア：先頭の3つだけです。間違いではないのですが、あと4つ足りません。 用語例には7つ並んでいます。

• イ：保守性は、システムの直しやすさを表す言葉で、ここに並んでいる語ではありません。

• エ：経済性・独創性は、情報セキュリティの要素として並んでいる語ではありません。

ひっかけポイント：じつは、シラバスVer.6.5に「3要素」「CIA」という語はありません（2026年7月時点）。原文の名前は「情報セキュリティの要素」で、括弧の中に7つ。参考書やネットで「3つ」と覚えていた方ほど、アを選びたくなります。7つ並んでいる、と覚えておくのがいちばん安全ですよ。なお、7つそれぞれの意味（機密性＝見ていい人だけが見られる、など）は一般的な言葉での説明で、シラバスに定義は書かれていません。
対応シラバス：テクノロジ系／大分類9 技術要素（中分類23 セキュリティ）

問2 ［基礎］

ある企業が、社内の情報資産について、まずどこに危険がありそうかを洗い出し、次にそれぞれの起こりやすさと影響の大きさを見積もり、そのうえでどれから手をつけるかを決めた。この一連の作業を構成する3つの段階の並びとして、適切なものはどれか。

ア．リスク分析 → リスク特定 → リスク評価
イ．リスク特定 → リスク分析 → リスク評価
ウ．リスク評価 → リスク特定 → リスク分析
エ．リスク特定 → リスク評価 → リスク分析

正解：イ

解説
たとえるなら、健康診断です。検査を受けて、どこが悪くなりそうかを洗い出す（リスク特定）。どれくらい深刻かを測る（リスク分析）。どれから治すかを決める（リスク評価）。 ……順番、自然ですよね。シラバスVer.6.5は「リスクマネジメントは、リスクの特定・分析・評価・対応という流れで実施されること」と書いています（小分類62(1)。2026年7月時点）。そして用語例では、この前の3つが「リスクアセスメント」の括弧の中に並んでいます（2026年7月時点）。

• ア：洗い出す前に分析はできません。まず見つける、が先でしたね。

• ウ：いきなり評価から始まっています。何を評価するのかが、まだ決まっていない状態です。

• エ：測る前に順番は決められません。分析があるから、評価ができるんですね。

ひっかけポイント：「アセスメント」は、調べて・測って・順番を決めるところまでです。実際に手を打つ「リスク対応」は、その外にいます。用語例でも「リスクアセスメント（リスク特定，リスク分析，リスク評価）」と「リスク対応（…）」が別々の親語として並んでいるんです（2026年7月時点・シラバスVer.6.5）。健康診断も、結果を見て何もしなければ意味がありませんよね。調べて終わりではなく、対応まで含めて1セット。 ここ、見直してみましょう。
対応シラバス：テクノロジ系／大分類9 技術要素（中分類23 セキュリティ）

いかがでしたか？ もっと解きたい方へ——この続き（本番レベルの問題）は「テクノロジ系 予想問題集」に収録しています。気になった人はこちらからどうぞ↓

次に読む

シリーズの目次：ITパスポートの出題範囲 全体地図