平成30年度 秋期 ITパスポート試験 問99
テクノロジ／セキュリティISMS における情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。 b 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。 c リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。
出典：平成30年度 秋期 ITパスポート試験 問99
- アa
- イa, b
- ウb
- エc
正解：ア
解説
リスクアセスメントは，リスクの特定，分析，評価の順に行います。a の「分析したリスクを基準で優先順位付けする」は評価です。b の「リスクを洗い出す」は特定の段階です。c の「対応を実施するかどうかを判断するための基準を定める」は，評価に入る前に決めておくリスク基準で，評価の作業そのものではありません。したがってリスクの評価で行うのは a だけです。
選択肢ごとの解説
- ア正しい。a の，あらかじめ定めた基準による優先順位付けが，リスクの評価で行うことです。
- イ誤り。b はリスクの特定の段階で行うことです。
- ウ誤り。b はリスクの特定であり，評価ではありません。a が評価で行うことです。
- エ誤り。c は，リスクを評価する前提となる基準づくりで，リスクの評価そのものではありません。