問1
頻出度★★★
リスクアセスメントを三つのプロセスに分けるとすると, リスクの特定, リスクの評価ともう一つはどれか。
平成31年度 春期 ITパスポート試験 問1
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 1
不正解ア
「リスクの移転」は保険加入や業務委託などでリスクを第三者に移す手法で、リスクへの「対応 (リスク対応)」に分類される。リスクの大きさを見積もるアセスメントの三プロセスには含まれない。
不正解イ
「リスクの回避」はリスクを生む活動そのものをやめてリスク要因を除去する手法で、これも「リスク対応」の一種。アセスメント (特定・分析・評価) の後段で選ぶ対処策であり、アセスメントの構成要素ではない。
不正解ウ
「リスクの低減」は対策を講じて発生確率や影響を下げる手法で、やはり「リスク対応」に属する。リスクを見積もる工程ではなく、評価後にとる処置なのでアセスメントの三プロセスには当たらない。
- エ
正解 リスクアセスメントは、リスクマネジメントの中でリスクを洗い出して見積もる一連の活動で、「リスク特定」「リスク分析」「リスク評価」の三つのプロセスで構成される。問題文が「リスクの特定」と「リスクの評価」を挙げているので、残る一つは「リスクの分析」= エ。リスク分析とは、特定したリスクについて発生確率と影響の大きさを見積もり、リスクの大きさ (リスクレベル) を明らかにする工程で、その結果を用いて次の評価工程で対応の要否や優先順位を判断する。
ここがポイント
- リスクアセスメント = 「リスク特定」→「リスク分析」→「リスク評価」の三プロセス (JIS Q 31000)。分析でリスクの大きさを見積もり、評価で対応要否・優先度を判断する。
- 移転・回避・低減 (および受容) は「リスク対応 (リスク対策)」の選択肢であり、アセスメントとは別段階。この区別が本問の考点。
用語