平成29年度 秋期 ITパスポート試験 問57
テクノロジ／セキュリティISMS における情報セキュリティリスクの取扱いに関する“リスク及び機会に対処する活動”には，リスク対応，リスク評価，リスク分析が含まれる。この活動の流れとして，適切なものはどれか。
出典：平成29年度 秋期 ITパスポート試験 問57
- アリスク対応 → リスク評価 → リスク分析
- イリスク評価 → リスク分析 → リスク対応
- ウリスク分析 → リスク対応 → リスク評価
- エリスク分析 → リスク評価 → リスク対応
正解：エ
解説
情報セキュリティリスクは，まずリスクの大きさを把握（リスク分析）し，次に許容できるかどうかを判断（リスク評価）し，最後に必要な対策を決めて実施（リスク対応）する順で扱います。分析・評価・対応の順です。
選択肢ごとの解説
- ア誤り。対応を先に行うと，どのリスクにどう対処すべきか分からないままになります。
- イ誤り。評価は分析の結果を基準と比べて行うので，分析より先に評価することはできません。
- ウ誤り。対応は，分析と評価の結果を受けて決めるものなので，評価より先に対応することはありません。
- エ正しい。リスク分析，リスク評価，リスク対応の順で取り扱います。