ITパスポート試験 ITパスポート 2017年 (平成29年 秋期) 問57: ISMSにおける情報セキュリティリスクの取扱いに関する"リスク及び機会に対処する活動"には,リスク対応,リスク評価,リスク分析が含まれる。この活動の流れとして,

正解

エ. リスク分析 → リスク評価 → リスク対応

正答率 60.2%（918人中 553人が正解）

問題の解説

リスクへの対処は、リスクの大きさを見積もる分析、その結果を基準と比べて優先順位や許容できるかを判断する評価、評価に基づいて低減・回避・移転・保有などの方法を選ぶ対応の順に進める。つまり、分析 → 評価 → 対応の流れになる。

選択肢ごとの解説

• ア対応を最初に行うと、どこにどの程度のリスクがあるか分からないまま対策を選ぶことになる。分析と評価を経てから対応するのが適切な順序である。
• イ評価は分析の結果を基準と比べる作業なので、分析より前には行えない。分析と評価の順が逆になっている。
• ウ対応を選ぶには、評価でリスクの優先順位や許容できるかを判断しておく必要がある。評価の前に対応を行う並びは適切でない。
• エ正しい。リスクの大きさを分析し、その結果を基準と比べて評価し、そのうえで対応を選ぶ順序になっている。