ITパスポート試験 ITパスポート 2021年 (令和3年) 問88: ISMSのリスクアセスメントにおいて,最初に行うものはどれか。

正解

イ. リスク特定

正答率 63.3%（918人中 581人が正解）

問題の解説

ISMSのリスクアセスメントは、リスク特定、リスク分析、リスク評価の順に進める。最初に行うのは、どのような脅威や脆弱性があり、どの情報資産にどんなリスクがあるかを洗い出す、リスク特定である。リスク対応は、アセスメントの結果を受けてどう対処するかを決める、別のプロセスである。

選択肢ごとの解説

• アリスク対応は、リスクアセスメントの結果に基づき、低減・回避・移転・保有などの対処を選んで実施するプロセスであり、アセスメントの後に行う。
• イ正しい。リスク特定は、リスクアセスメントの最初の段階で、リスクの原因となる脅威や脆弱性、影響を受ける資産などを洗い出す。
• ウリスク評価は、分析したリスクの大きさを基準と比べ、対応の要否や優先順位を判断する段階であり、特定と分析の後に行う。
• エリスク分析は、特定したリスクについて、発生可能性や影響の大きさからリスクレベルを求める段階であり、特定の後に行う。