問99
頻出度★★★
ISMSにおける情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。 b 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。 c リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。
平成30年度 秋期 ITパスポート試験 問99
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 99
- ア
正解 リスクアセスメントは「リスク特定→リスク分析→リスク評価」の三段階からなる。リスク評価とは、リスク分析で見積もったリスクの大きさを、あらかじめ定めておいた基準と照らし合わせ、どのリスクを優先して対応すべきか順位付けする段階である。選択肢aの「あらかじめ定めた基準によって、分析したリスクの優先順位付けを行う」はこの定義そのものであり、リスク評価に該当する。b・cはリスク評価ではないため、リスク評価に該当するのはaだけとなり、正解はア。
不正解イ
aはリスク評価で正しいが、bの「保護すべき情報資産の取扱いに存在するリスクを洗い出す」はリスクを見つけ出す作業であり、三段階の最初「リスク特定」に当たる。評価ではないbを含むため誤り。
不正解ウ
bの「リスクを洗い出す」はリスク特定であってリスク評価ではない。評価の段階を一つも含まないため誤り。
不正解エ
cの「リスクが顕在化したときに対応を実施するかどうかを判断するための基準を定める」は、評価で用いる判断基準そのものを事前に策定する作業であり、アセスメントの前提整備に当たる。基準に照らして順位付けするリスク評価の作業ではないため誤り。
ここがポイント
- リスクアセスメントは「リスク特定(リスクの洗い出し)→リスク分析(リスクの大きさの算定)→リスク評価(基準と照合し対応の優先順位付け)」の三段階で構成される。
- リスク評価は、あらかじめ定めた基準に照らして分析結果を判断し優先順位を付ける段階。基準そのものを定める作業や、リスクを洗い出す作業は評価には含まれない。
用語