問86
頻出度★★★
情報セキュリティにおけるリスクアセスメントを, リスク特定, リスク分析, リスク評価の三つのプロセスに分けたとき, リスク分析に関する記述として, 最も適切なものはどれか。
令和4年度 ITパスポート試験 問86
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 86
- ア
正解 リスク分析は、特定した各リスクについて「起こりやすさ（発生頻度）」と「結果（影響の大きさ）」を組み合わせ、そのリスクの大きさ＝リスクレベルを算定するプロセスである。ここで求めたレベルを次のリスク評価で受容基準（受容可能なリスクの目安）と比較して、対応の要否を判断する。選択肢アはまさに「受容基準と比較できるように、各リスクのレベルを決定する」と述べており、リスク分析の役割そのものを正しく表しているため正解。
不正解イ
「全ての情報資産を分析の対象にする」は、分析範囲に関する話でありリスク分析の定義ではない。分析対象とすべきリスクは前段のリスク特定で洗い出されるものであり、また実務上は重要度に応じて対象を絞ることもある。リスク分析を説明した記述ではないので誤り。
不正解ウ
「特定した全てのリスクに同じ分析技法を用いる」必要はない。リスクの性質やデータの有無に応じて、定量的分析・定性的分析など複数の技法を使い分けてよい。むしろ一律の技法を強制すると適切なレベル評価ができない場合があり、リスク分析の要件として誤り。
不正解エ
「リスクが受容可能かどうかを決定する」のは、リスク分析の結果得たレベルを受容基準と比較して対応要否を判断する後段の「リスク評価」の役割である。リスク分析はレベルを求める段階までであり、受容可否の判定までは行わないので、リスク分析の記述としては誤り。
ここがポイント
- リスクアセスメントは「リスク特定（洗い出し）→リスク分析（各リスクのレベルを算定）→リスク評価（受容基準と比較して対応要否を判断）」の三段階からなる（JIS Q 27000／ISO 27005）。
- リスク分析はリスクレベルを決定するプロセス、リスク評価は受容可否を決定するプロセスであり、両者の役割を混同しないことが考点。
用語