令和3年度 ITパスポート試験 公開問題 問91
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
次の作業 a～d のうち，リスクマネジメントにおける，リスクアセスメントに含まれるものだけを全て挙げたものはどれか。
- a 脅威や脆弱性などを使って，リスクレベルを決定する。
- b リスクとなる要因を特定する。
- c リスクに対してどのように対応するかを決定する。
- d リスクについて対応する優先順位を決定する。
解答・解説
正解: イ. a, b, d
情報セキュリティマネジメントにおけるリスクマネジメントのプロセスは、大きく「リスクアセスメント」と「リスク対応」などに分かれます。
リスクアセスメントは、さらに以下の3つのプロセスで構成されています。
- リスク特定: 組織の資産、脅威、脆弱性などを洗い出し、リスクとなる要因を特定するプロセスです。（作業 b に該当）
- リスク分析: 特定したリスクについて、脅威や脆弱性の大きさ、発生可能性などを分析し、リスクレベルを決定するプロセスです。（作業 a に該当）
- リスク評価: 分析したリスクレベルと、あらかじめ定めたリスク受容基準を比較し、リスクに対応する優先順位を決定するプロセスです。（作業 d に該当）
一方、作業 c の「リスクに対してどのように対応するかを決定する」は、リスクアセスメントの後に行われるリスク対応のプロセスに該当します。
したがって、リスクアセスメントに含まれる作業は a, b, d となり、正解は「イ」です。
各選択肢の解説
- ア (a, b): リスク評価（作業 d）が欠けているため誤りです。
- イ (a, b, d): リスクアセスメントに含まれるプロセス（リスク分析、リスク特定、リスク評価）をすべて過不足なく挙げているため、正解です。
- ウ (a, c, d): リスク特定（作業 b）が欠けており、かつリスクアセスメントに含まれないリスク対応（作業 c）が含まれているため誤りです。
- エ (c, d): リスクアセスメントに含まれないリスク対応（作業 c）が含まれており、作業 a, b が欠けているため誤りです。