個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第26問: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、被害発生可能性を「脅威の起こりやすさ」と「脆弱性のつけ込みやすさ」の2つの数値（いずれも3〜1

正解: 3. 年に数回程度

同ガイドライン第4.0版の表5（リスク値の算定基準）は、脅威の起こりやすさを、3＝通常の状況で脅威が発生する（いつ発生してもおかしくない）、2＝特定の状況で脅威が発生する（年に数回程度）、1＝通常の状況で脅威が発生することはない、の3段階としています（3が正しい。日・週・月の目安は示されていない）。脆弱性のつけ込みやすさは、3＝対策を実施していない（ほぼ無防備）、2＝部分的に対策を実施している、1＝必要な対策をすべて実施している、で評価します。被害発生可能性は、脅威が脆弱性を利用してどの程度被害をもたらす可能性があるかを示す指標で、重要度との掛け算でリスク値を求めます。

根拠・参照資料: 独立行政法人情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン」第4.0版 第2部4（1）資産ベースのリスク分析 手順2（表5 リスク値の算定基準）

関連キーワード: 脅威・脆弱性・被害発生可能性・リスク値