令和6年度 春期 ITサービスマネージャ試験 午前II 問16
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
JIS Q 27000:2019（情報セキュリティマネジメントシステムー用語）における用語の定義として，適切なものはどれか。
解答・解説
正解: ウ. リスク評価とは，リスク及び／又はその大きさが受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
JIS Q 27000:2019（情報セキュリティマネジメントシステムー用語）における用語の定義に関する問題です。
正解は ウ です。
リスク評価とは、リスク分析の結果をあらかじめ定めたリスク基準と比較し、そのリスクが許容可能かどうかを決定するプロセスです。
各選択肢の解説
- ア: 不適切。「リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体」は、リスク所有者（リスクオーナー）の定義です。トップマネジメントは、組織を指揮し管理する最高経営層を指します。
- イ: 不適切。「リスクを修正するプロセス」であり「リスクを回避することを含む」のは、リスク対応の定義です。リスクアセスメントは、リスク特定、リスク分析、リスク評価からなるプロセス全体を指します。
- ウ: 適切。リスク評価の正しい定義です。
- エ: 不適切。「リスクを発見、認識及び記述するプロセス」は、リスク特定の定義です。リスク分析は、リスクの特質を理解し、リスクレベルを決定するプロセスを指します。