ITパスポート試験 ITパスポート 2014年 (平成26年 秋期) 問47: 情報セキュリティのリスクマネジメントにおいて,リスクの重大さを決定するために,算定されたリスクを与えられた基準と比較するプロセスはどれか。

正解

ウ. リスク評価

正答率 48.7%（741人中 361人が正解）

問題の解説

情報セキュリティのリスクマネジメントは、リスクの特定、分析、評価、対応の順に進める。リスク評価は、リスク分析で算定したリスクの大きさを、与えられた基準と比較して、リスクの重大さを判断し、対応が必要かどうかを決めるプロセスである。

選択肢ごとの解説

• アリスク対応は、評価の結果をもとに、リスクを低減、回避、移転、保有といった方法で扱う方策を選び、実施するプロセスである。
• イリスクの特定は、リスクの原因となる事象や資産、脅威などを洗い出して記述するプロセスで、基準との比較は行わない。
• ウ正しい。リスク評価は、算定されたリスクを与えられた基準と比較して、リスクの重大さを決めるプロセスである。
• エリスク分析は、リスクの性質を理解し、その大きさを算定するプロセスである。算定の結果を基準と比較して重大さを判断するのは、その次のリスク評価である。