平成26年度 秋期 基本情報技術者試験 午前 問39
テクノロジ／セキュリティリスクアセスメントに関する記述のうち，適切なものはどれか。
出典：平成26年度 秋期 基本情報技術者試験 午前 問39
- ア以前に洗い出された全てのリスクへの対応が完了する前に，リスクアセスメントを実施することは避ける。
- イ将来の損失を防ぐことがリスクアセスメントの目的なので，過去のリスクアセスメントで利用されたデータを参照することは避ける。
- ウ損失額と発生確率の予測に基づくリスクの大きさに従うなどの方法で，対応の優先順位を付ける。
- エリスクアセスメントはリスクが顕在化してから実施し，損失額に応じて対応の予算を決定する。
正解：ウ
解説
リスクアセスメントとは，想定されるリスクの損失額や発生確率を評価し，その大きさに基づいて対応の優先順位を決定する活動です。リスクが顕在化する前に，繰り返し実施して対応計画に反映させることが重要です。
選択肢ごとの解説
- ア誤り。全てのリスク対応が完了する前でも，新たなリスクの洗い出しやリスクアセスメントは継続的に実施すべきです。
- イ誤り。過去のリスクアセスメントのデータは，傾向の把握や再評価に有用であり，参照を避ける理由はありません。
- ウ正しい。損失額と発生確率からリスクの大きさを評価し，それに基づいて対応の優先順位を付けるのがリスクアセスメントです。
- エ誤り。リスクアセスメントはリスクが顕在化する前に実施し，事前に対応を検討しておくべきものです。