ITパスポート試験 ITパスポート 2017年 (平成29年 春期) 問63: 情報セキュリティのリスクマネジメントをリスク特定,リスク分析,リスク評価,リスク対応に分けたときに,リスク対応に含まれるものはどれか。

正解

エ. リスクへの対処方法を選択し,具体的な管理策の計画を立てる。

正答率 85.2%（1,931人中 1,646人が正解）

問題の解説

情報セキュリティのリスクマネジメントは、リスク特定、リスク分析、リスク評価、リスク対応の順に進む。リスク対応は、評価の結果を受けて、低減・回避・移転・保有などの対処方法を選び、具体的な管理策を計画する段階である。洗い出し、大きさの算定、受容できるかの判断は、それ以前の段階に含まれる。

選択肢ごとの解説

• ア組織に存在するリスクを洗い出すのは、リスク特定の段階の作業である。
• イリスクの大きさを受容基準と比べて、対策の要否を判断するのは、リスク評価の段階の作業である。
• ウ発生確率と影響度からリスクの大きさを算定するのは、リスク分析の段階の作業である。
• エ正しい。評価の結果、対策が必要と判断したリスクに対して、対処方法(低減・回避・移転・保有)を選び、具体的な管理策の計画を立てるのがリスク対応である。