問68
頻出度★★★
情報セキュリティにおけるリスクアセスメントの説明として, 適切なものはどれか。
平成30年度 秋期 ITパスポート試験 問68
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 68
不正解ア
PC やサーバに侵入したウイルスを駆除するのは、実際に発生した事象への対処（ウイルス対策・インシデント対応）であり、リスクの分析・評価を行うリスクアセスメントではない。
- イ
正解 リスクアセスメントとは、識別された情報資産に対するリスクを「分析」し、その大きさを一定の「基準」に照らして「評価」し、対応（リスク対応）が必要かどうかを判断する一連の活動を指す。選択肢イはまさにこの流れ（識別された資産のリスクを分析・評価し、基準に照らして対応要否を判断する）を述べており、リスクアセスメントの説明として適切である。
不正解ウ
事前に登録された情報で利用者が本人であることを確認するのは「認証（本人確認）」の説明であり、リスクを評価する活動ではない。
不正解エ
情報システム導入時に費用対効果を算出するのは投資判断のための費用便益分析であり、資産へのリスクを分析・評価するリスクアセスメントとは異なる。
ここがポイント
- リスクアセスメント＝リスク分析（リスクの大きさを把握）＋リスク評価（基準と照らして対応要否を判断）から成る一連の活動。
- リスクアセスメントは、実際の事象への対処（ウイルス駆除など）や認証・費用対効果算出とは別概念である点を区別する。
用語