問56
頻出度★★★
リスクマネジメントに含まれる四つのプロセスであるリスク対応, リスク特定, リスク評価, リスク分析を実施する順番として, 適切なものはどれか。
平成25年度 秋期 ITパスポート試験 問56
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 56
不正解ア
「リスク特定」から始まる点は正しいが、「リスク評価」と「リスク分析」の順序が逆になっている。評価はリスクの大きさが算定されて初めて基準と比較できるので、分析より先に評価を行うことはできない。分析 (大きさを見積もる) → 評価 (基準と比べて判断する) の順でなければならない。
- イ
正解 正解は「イ」。リスクマネジメントは JIS Q 31000 (ISO 31000) に沿って、まず前半の「リスクアセスメント」を行い、その結果を受けて後半の「リスク対応」を行う流れになる。リスクアセスメントの中身は三段階で、(1)「リスク特定」= どこにどんなリスクが潜んでいるかを洗い出す、(2)「リスク分析」= 洗い出した各リスクの発生頻度 (起こりやすさ) と影響の大きさを見積もり、リスクの大きさを算定する、(3)「リスク評価」= 算定した大きさをあらかじめ決めた基準 (受容可能な水準) と照らし合わせ、対応が必要か、どれを優先するかを判断する。そのうえで (4)「リスク対応」として、回避・低減・移転・保有といった具体的な手段を選んで実行する。したがって「リスク特定 → リスク分析 → リスク評価 → リスク対応」が正しい順番となる。「まず見つける → 大きさを測る → 基準と比べて判断する → 手を打つ」と覚えるとよい。
不正解ウ
先頭が「リスク評価」になっている。まだどんなリスクが存在するかを洗い出してもいない (リスク特定をしていない) 段階で、評価すべき対象そのものが無い。リスクマネジメントは必ず「リスク特定」から始まる。
不正解エ
先頭が「リスク分析」で、特定より前に分析を置いている点がまず誤り。さらに「リスク対応」を「リスク評価」より先に置いており、対応が必要かどうか・どれを優先するかを判断する前に手を打つ形になっていて、順序として成立しない。リスク対応は四つのプロセスの最後に来る。
ここがポイント
- リスクマネジメントの四プロセスは「リスク特定 → リスク分析 → リスク評価 → リスク対応」の順。前三つ (特定・分析・評価) をまとめて「リスクアセスメント」と呼ぶ。
- 各段階の役割の区別が要点: リスク特定 = リスクの洗い出し、リスク分析 = 発生頻度と影響度からリスクの大きさを算定、リスク評価 = 基準と比較して対応要否・優先度を判断、リスク対応 = 回避・低減・移転・保有などの具体策を実施。
用語