令和3年度 ITパスポート試験 問91
テクノロジ／セキュリティ次の作業 a～d のうち，リスクマネジメントにおける，リスクアセスメントに含まれるものだけを全て挙げたものはどれか。 a 脅威や脆弱性などを使ってリスクレベルを決定する。 b リスクとなる要因を特定する。 c リスクに対してどのように対応するかを決定する。 d リスクについて対応する優先順位を決定する。
出典：令和3年度 ITパスポート試験 問91
- アa, b
- イa, b, d
- ウa, c, d
- エc, d
正解：イ
解説
リスクアセスメントは，リスク特定，リスク分析，リスク評価から成ります。b のリスクとなる要因を特定するのはリスク特定，a の脅威や脆弱性などを使ってリスクレベルを決定するのはリスク分析，d の対応の優先順位を決定するのはリスク評価です。c のリスクへの対応方法を決めるのは，リスクアセスメントの後のリスク対応です。したがって a，b，d です。
選択肢ごとの解説
- ア誤り。d の対応の優先順位を決定する作業も，リスク評価としてリスクアセスメントに含まれます。
- イ正しい。a はリスク分析，b はリスク特定，d はリスク評価であり，いずれもリスクアセスメントに含まれます。
- ウ誤り。c の対応方法の決定はリスク対応で，リスクアセスメントには含まれません。また b のリスク特定が抜けています。
- エ誤り。c はリスク対応でリスクアセスメントには含まれません。また a，b が抜けています。