令和4年度 ITパスポート試験 問86
テクノロジ／セキュリティ情報セキュリティにおけるリスクアセスメントを，リスク特定，リスク分析，リスク評価の三つのプロセスに分けたとき，リスク分析に関する記述として，最も適切なものはどれか。
出典：令和4年度 ITパスポート試験 問86
- ア受容基準と比較できるように，各リスクのレベルを決定する必要がある。
- イ全ての情報資産を分析の対象にする必要がある。
- ウ特定した全てのリスクについて，同じ分析技法を用いる必要がある。
- エリスクが受容可能かどうかを決定する必要がある。
正解：ア
解説
リスクアセスメントは，リスク特定（どんなリスクがあるかを洗い出す），リスク分析（リスクの大きさ・レベルを決める），リスク評価（リスクが受容できるか，対応が必要かを判断する）の順に行います。リスク分析では，発生の可能性や影響から各リスクのレベルを決定し，後のリスク評価で受容基準と比較できるようにします。
選択肢ごとの解説
- ア正しい。リスク分析では，受容基準と比較できるように，各リスクのレベル（大きさ）を決定します。
- イ誤り。分析の対象は，リスクを特定した情報資産であり，全ての情報資産を対象にする必要はありません。
- ウ誤り。分析技法は，リスクの性質に応じて選べばよく，全てのリスクに同じ技法を用いる必要はありません。
- エ誤り。リスクが受容可能かどうかを決定するのは，リスク分析ではなくリスク評価です。