問91
頻出度★★★
次の作業a～dのうち, リスクマネジメントにおける, リスクアセスメントに含まれるものだけを全て挙げたものはどれか。 a 脅威や脆弱性などを使ってリスクレベルを決定する。 b リスクとなる要因を特定する。 c リスクに対してどのように対応するかを決定する。 d リスクについて対応する優先順位を決定する。
令和3年度 ITパスポート試験 問91
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 91
不正解ア
「a, b」だけでは、優先順位を決める d (リスク評価) が抜けている。d もアセスメントの一工程なので、含まれるものを「全て」挙げるという条件を満たさず不足。
- イ
正解 リスクアセスメントは、リスクマネジメントのうち「リスク特定 → リスク分析 → リスク評価」の3工程を指す (JIS Q 31000/ISO 31000)。a は脅威や脆弱性を使ってリスクレベルを決めるので「リスク分析」、b はリスクとなる要因を洗い出すので「リスク特定」、d は対応の優先順位を決めるので「リスク評価」に当たり、いずれもアセスメントに含まれる。一方 c の「どのように対応するかを決定する」は、アセスメントの後に行う「リスク対応」であり含まれない。したがって、アセスメントに含まれるものだけを全て挙げると a・b・d となり、正解は「イ」。
不正解ウ
「a, c, d」は c を含んでいる点が誤り。c『どのように対応するかを決定する』は、アセスメントの次段階である「リスク対応」であってアセスメントには含まれない。また b (リスク特定) が抜けている点も誤り。
不正解エ
「c, d」のうち c はアセスメント外の「リスク対応」であり不適。さらにアセスメントに含まれる a (リスク分析)・b (リスク特定) が丸ごと抜けており、まったく逆に近い選択。
ここがポイント
- リスクアセスメント＝「リスク特定・リスク分析・リスク評価」の3工程。その後の「リスク対応」は別工程でアセスメントには含まれない (JIS Q 31000/ISO 31000)。
- 各作業の対応づけ: 要因の洗い出し＝リスク特定、脅威・脆弱性からリスクレベル算定＝リスク分析、対応の優先順位づけ＝リスク評価、どう対応するかの決定＝リスク対応。
用語