令和3年度 ITパスポート試験 公開問題 問88

ISMS（情報セキュリティマネジメントシステム）において、情報セキュリティリスクアセスメントは、組織の情報の機密性、完全性、可用性が失われるリスクを特定し、その大きさを算定して、受容できるかどうかを評価するプロセスです。

リスクアセスメントは、一般的に以下の順序で実施されます。

1. リスク特定：リスクの発生源や事象を洗い出すプロセス。
2. リスク分析：特定されたリスクの性質を理解し、リスクレベル（大きさ）を算定するプロセス。
3. リスク評価：リスク分析の結果と事前に設定した基準を比較し、リスクに対応する必要があるかを決定するプロセス。

したがって、リスクアセスメントにおいて最初に行うプロセスはリスク特定となります。

各選択肢の解説

• ア：リスク対応
  誤りです。リスク対応は、リスクアセスメント（特定・分析・評価）の結果をもとに、リスクを修正するための選択肢を選定し、実行するプロセスです。リスクアセスメントの後に行われます。

• イ：リスク特定
  正解です。 リスクアセスメントにおいて、最初に行うプロセスです。

• ウ：リスク評価
  誤りです。リスク評価は、特定・分析されたリスクが許容可能かどうかを判断するプロセスであり、リスクアセスメントの最終段階で行われます。

• エ：リスク分析
  誤りです。リスク分析は、リスク特定によって洗い出されたリスクの原因や結果、発生の可能性などを考慮してリスクレベルを決定するプロセスであり、リスク特定の次に行われます。