令和6年度 春期 ITサービスマネージャ試験 午前Ⅱ 問16
テクノロジ／セキュリティJIS Q 27000:2019（情報セキュリティマネジメントシステム-用語）における用語の定義として，適切なものはどれか。
出典：令和6年度 春期 ITサービスマネージャ試験 午前Ⅱ 問16
- アトップマネジメントとは，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体のことである。
- イリスクアセスメントとは，リスクを修正するプロセスのことであり，リスクを生じさせる活動を開始又は継続しないと決定することによって，リスクを回避することを含む。
- ウリスク評価とは，リスク及び／又はその大きさが受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
- エリスク分析とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。
正解：ウ
解説
JIS Q 27000:2019では，リスク評価を，リスク及び／又はその大きさが受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスと定義しています。トップマネジメントの定義，リスクアセスメントとリスク対応の混同，リスク分析とリスク特定の混同がそれぞれ他の選択肢の誤りの内容です。
選択肢ごとの解説
- ア誤り。トップマネジメントは，組織を最高位で指揮し，管理する個人又は人々の集まりのことであり，リスクの運用管理のアカウンタビリティ及び権限をもつ人又は主体という説明はリスクオーナーの定義に近い内容です。
- イ誤り。リスクを修正するプロセスであり，リスクを回避する決定を含むという説明は，リスク対応の定義です。リスクアセスメントは，リスク特定，リスク分析及びリスク評価を含むプロセス全体を指します。
- ウ正しい。リスク及び／又はその大きさが受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスが，リスク評価の定義です。
- エ誤り。リスクを発見，認識及び記述するプロセスという説明は，リスク特定の定義です。リスク分析は，リスクの性質を理解し，リスクレベルを決定するプロセスです。