令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問19
テクノロジ／セキュリティJIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として，適切なものはどれか。
出典：令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問19
- ア対策を講じることによって，リスクを修正するプロセス
- イリスクとその大きさが受容可能か否かを決定するために，リスク分析の結果をリスク基準と比較するプロセス
- ウリスクの特質を理解し，リスクレベルを決定するプロセス
- エリスクの発見，認識及び記述を行うプロセス
正解：イ
解説
JIS Q 27000:2019 では，リスクアセスメントを“リスク特定，リスク分析及びリスク評価のプロセス全体”と定義しています。このうちリスク評価は，リスク分析の結果をリスク基準と比較して，リスク及びその大きさが受容可能か否か，あるいは許容可能かを決定するプロセスです。リスク評価の結果に基づいて，どのリスクにどのようなリスク対応を行うかを決めます。
選択肢ごとの解説
- ア誤り。対策を講じることによってリスクを修正するプロセスは，“リスク対応”の定義です。
- イ正しい。リスク分析の結果をリスク基準と比較し，リスクとその大きさが受容可能か否かを決定するプロセスが“リスク評価”です。
- ウ誤り。リスクの特質を理解しリスクレベルを決定するプロセスは，“リスク分析”の定義です。
- エ誤り。リスクの発見，認識及び記述を行うプロセスは，“リスク特定”の定義です。