問57
頻出度★★★
ISMS における情報セキュリティリスクの取扱いに関する“リスク及び機会に対処する活動”には, リスク対応, リスク評価, リスク分析が含まれる。この活動の流れとして, 適切なものはどれか。
平成29年度 秋期 ITパスポート試験 問57
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 57
不正解ア
「リスク対応 → リスク評価 → リスク分析」は順序が逆。まだ分析も評価もしていない段階でリスク対応の措置を決めることはできない。対応は分析・評価の後に行う最終工程である。
不正解イ
「リスク評価 → リスク分析 → リスク対応」は分析と評価が逆。リスク評価はリスク分析で算定した大きさをリスク基準と比較する工程なので、必ずリスク分析が先に来なければならない。
不正解ウ
「リスク分析 → リスク対応 → リスク評価」は評価と対応の順が逆。リスク評価で対応の要否・優先度を決めてからリスク対応に進むべきで、評価を飛ばして先に対応することはできない。
- エ
正解 正解はエ「リスク分析 → リスク評価 → リスク対応」。ISMS(JIS Q 27001)のリスクマネジメントでは、まずリスクアセスメントを行い、その結果を受けてリスク対応を実施する。リスクアセスメントは「リスク特定 → リスク分析 → リスク評価」の順で進み、リスク分析でリスクの大きさ(発生可能性と結果の大きさ)を算定し、リスク評価でその分析結果をリスク基準と照らして対応の要否や優先度を判断する。判断が確定して初めて、受容・低減・回避・移転といったリスク対応の措置をとる。したがって流れは「リスク分析 → リスク評価 → リスク対応」となり、エが適切。
ここがポイント
- リスクマネジメントの大枠は「リスクアセスメント → リスク対応」で、リスクアセスメントは「リスク特定 → リスク分析 → リスク評価」で構成される(JIS Q 27001 / ISO 31000)。
- リスク分析(リスクの大きさを算定)→ リスク評価(基準と比較し対応の要否・優先度を判断)→ リスク対応(受容・低減・回避・移転などの措置)という順序を押さえる。
用語