ITパスポート試験 ITパスポート 2018年 (平成30年 秋期) 問68: 情報セキュリティにおけるリスクアセスメントの説明として,適切なものはどれか。

正解

イ. 識別された資産に対するリスクを分析,評価し,基準に照らして対応が必要かどうかを判断する。

正答率 56.4%（1,568人中 884人が正解）

問題の解説

リスクアセスメントは、情報資産を識別したうえで、リスクを特定・分析・評価し、あらかじめ定めた基準に照らして対応が必要かどうかを判断する一連の活動である。この結果に基づき、低減・回避・移転・受容などのリスク対応を選ぶ。

選択肢ごとの解説

• アウイルスの駆除は、事故が起きた後の対処であり、リスクを分析・評価する活動ではない。
• イ正しい。識別した資産のリスクを分析、評価し、基準に照らして対応の要否を判断する活動が、リスクアセスメントである。
• ウ事前に登録した情報で利用者本人を確認するのは、認証の説明である。
• エシステム導入の費用対効果の算出は、経済性の評価であり、情報セキュリティのリスクアセスメントではない。