問56
頻出度★★★
次の作業a～dのうち, リスクマネジメントにおける, リスクアセスメントに含まれるものだけを全て挙げたものはどれか。 a リスク特定 b リスク分析 c リスク評価 d リスク対応
令和元年度 秋期 ITパスポート試験 問56
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 56
不正解ア
a (リスク特定) と b (リスク分析) だけで、c (リスク評価) が抜けている。評価もリスクアセスメントの一部なので、これでは不足で誤り。
- イ
正解 リスクマネジメントの標準 (JIS Q 31000／ISO 31000) では、リスクアセスメントは「リスク特定 (a) → リスク分析 (b) → リスク評価 (c)」の3工程を指す。すなわち、どこにどんなリスクがあるかを洗い出し (特定)、その大きさ (発生可能性と影響) を見積もり (分析)、対応が必要かどうかを判断基準と照らして決める (評価) までがアセスメントである。「リスク対応 (d)」は、この評価結果を受けて実際に対策を選び実施する後続の別工程なので含まれない。したがって a,b,c を挙げた「イ」が正しい。
不正解ウ
b (リスク分析) と c (リスク評価) は正しいが、d (リスク対応) を含んでしまっている。リスク対応はアセスメントの後の工程であり、逆に a (リスク特定) が抜けているため誤り。
不正解エ
c (リスク評価) と d (リスク対応) の組。d はアセスメントに含まれず、また a (リスク特定)・b (リスク分析) も欠けているため誤り。
ここがポイント
- リスクアセスメント = リスク特定 + リスク分析 + リスク評価 の3工程 (JIS Q 31000／ISO 31000)。
- リスク対応 (リスクを回避・低減・移転・受容する対策の選択と実施) はアセスメントの後段に位置する別工程で、アセスメントには含まれない。
用語