問63
頻出度★★★
情報セキュリティのリスクマネジメントをリスク特定, リスク分析, リスク評価, リスク対応に分けたときに, リスク対応に含まれるものはどれか。
平成29年度 春期 ITパスポート試験 問63
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 63
不正解ア
「組織に存在するリスクを洗い出す」は、どこにどんなリスクがあるかを見つけ出す作業で、リスクマネジメントの最初の段階である「リスク特定」に当たる。リスク対応ではない。
不正解イ
「リスクの大きさとリスク受容基準を比較して、対策実施の必要性を判断する」は、算定したリスクの大きさが受け入れ可能な水準かどうかを判定する段階で、「リスク評価」に当たる。対応方法を決める段階ではない。
不正解ウ
「リスクの発生確率と影響度から、リスクの大きさを算定する」は、リスクの重大さを見積もる作業で「リスク分析」に当たる。まだ大きさを数値・水準として求めている段階であり、対処方法を選ぶリスク対応とは異なる。
- エ
正解 リスクマネジメントは「リスク特定→リスク分析→リスク評価」（この3つをまとめてリスクアセスメントと呼ぶ）で洗い出したリスクの大きさを把握したうえで、最後に「リスク対応」でそのリスクをどう扱うかを決めて手を打つ、という流れで進む。エの「リスクへの対処方法を選択し、具体的な管理策の計画を立てる」は、まさにリスクをどう処理するか（回避・低減・移転・保有などの方針選択）を決め、そのための管理策を計画する行為であり、リスク対応そのものである。したがってエが正しい。
ここがポイント
- リスクマネジメントの流れ: リスク特定（洗い出し）→リスク分析（発生確率×影響度で大きさを算定）→リスク評価（受容基準と比較し対策要否を判断）→リスク対応（対処方法の選択と管理策の計画）。前3段階をまとめてリスクアセスメントと呼ぶ。
- リスク対応=リスクへの対処方針（回避・低減・移転・保有など）を選び、具体的な管理策を計画・実施する段階である点を、分析・評価と区別して覚える。
用語