平成29年度 春期 情報セキュリティマネジメント試験 午前 問6
テクノロジ／セキュリティJIS Q 31000:2010（リスクマネジメント－原則及び指針）において，リスクマネジメントは，“リスクについて組織を指揮統制するための調整された活動”と定義されている。そのプロセスを構成する活動の実行順序として，適切なものはどれか。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問6
- アリスク特定 → リスク対応 → リスク分析 → リスク評価
- イリスク特定 → リスク分析 → リスク評価 → リスク対応
- ウリスク評価 → リスク特定 → リスク分析 → リスク対応
- エリスク評価 → リスク分析 → リスク特定 → リスク対応
正解：イ
解説
JIS Q 31000のリスクマネジメントプロセスは、リスクアセスメント（リスク特定→リスク分析→リスク評価）を行った上で、その結果に基づきリスク対応を実施するという順序で構成されます。
選択肢ごとの解説
- ア誤り。リスク対応はリスク分析・評価の後に行うものであり、リスク特定の直後に行う順序は誤りです。
- イ正しい。リスク特定→リスク分析→リスク評価→リスク対応の順に実行します。
- ウ誤り。リスク評価はリスク特定・分析の後に行うものであり、最初に行う順序は誤りです。
- エ誤り。リスク評価を最初に置く順序は誤りで、リスク特定が最初に行われます。