問88
頻出度★★★
ISMS のリスクアセスメントにおいて, 最初に行うものはどれか。
令和3年度 ITパスポート試験 問88
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 88
不正解ア
リスク対応 (リスク低減・回避・移転・受容などの措置を決める工程) は、リスクアセスメントで評価された結果を受けて行うもので、アセスメントの後の段階に位置する。最初ではない。
- イ
正解 ISMS (JIS Q 27000 / ISO 27001) では、リスクアセスメントは「リスク特定 → リスク分析 → リスク評価」の3ステップで構成される。イのリスク特定は、組織の情報資産に対してどのようなリスク (脅威・脆弱性) が存在するかを洗い出す作業で、アセスメントの最初のステップにあたる。リスクの実体をまず把握しなければ、その後の分析・評価はできないため、最初に行うのはリスク特定となる。
不正解ウ
リスク評価は、分析で求めたリスクの大きさを、あらかじめ定めた基準 (リスク受容基準) と比較して対応の要否・優先順位を判断する工程。特定・分析を経た後の3番目のステップであり、最初ではない。
不正解エ
リスク分析は、特定したリスクについて発生可能性と影響度を見積もり、リスクの大きさ (レベル) を算定する工程。リスク特定の後に行う2番目のステップであり、最初ではない。
ここがポイント
- ISMS のリスクアセスメントの順序: リスク特定 → リスク分析 → リスク評価 (その後にリスク対応)。最初は「リスク特定」。
- リスクアセスメントは特定・分析・評価の3工程を指し、リスク対応はアセスメントに含まれず、評価結果を受けて実施する別工程である点を区別する。
用語