ITパスポート試験 ITパスポート 2018年 (平成30年 秋期) 問99: ISMSにおける情報セキュリティリスクアセスメントでは,リスクの特定,分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a あらかじめ定

正解

ア. a

正答率 62.8%（1,730人中 1,086人が正解）

問題の解説

ISMSの情報セキュリティリスクアセスメントは、リスクの特定、分析、評価の順に進める。リスクの評価では、分析で求めたリスクの大きさを、あらかじめ定めた基準と比べて、対応の優先順位を付ける。bは資産のリスクを洗い出す特定、cは評価に用いる基準を事前に定める作業なので、評価で行うのはaだけである。

選択肢ごとの解説

• ア正しい。定めた基準によって分析したリスクに優先順位を付けるのは、リスクの評価で行う作業である。
• イaは評価の作業だが、bはリスクを洗い出す特定の作業であり、評価には含まれない。
• ウbは、保護すべき情報資産のリスクを洗い出す特定の作業であり、評価では行わない。
• エcは対応の要否を判断する基準を定める作業で、評価に先立って決めておくものであり、評価そのものではない。