ITパスポート試験 ITパスポート 2022年 (令和4年) 問86: 情報セキュリティにおけるリスクアセスメントを,リスク特定,リスク分析,リスク評価の三つのプロセスに分けたとき,リスク分析に関する記述として,最も適切なものはどれ

正解

ア. 受容基準と比較できるように,各リスクのレベルを決定する必要がある。

正答率 61.4%（1,062人中 652人が正解）

問題の解説

リスクアセスメントは、リスク特定、リスク分析、リスク評価の順に進める。リスク分析では、特定したリスクについて起こりやすさと影響を分析し、リスクレベルを決定する。そのレベルをリスク受容基準と比較して、対応が必要かどうかを判断するのは、次のリスク評価である。

選択肢ごとの解説

• ア正しい。リスク分析では各リスクの発生可能性と影響からレベルを決め、それを次のリスク評価で受容基準と比較する。
• イ分析するのは、リスク特定で洗い出したリスクである。全ての情報資産を一律に分析対象にするという決まりはない。
• ウリスクの性質や重要度に応じて、定量的な分析と定性的な分析を使い分けてよく、全てに同じ技法を用いる必要はない。
• エリスクが受容可能かどうかを決めるのは、分析の結果を受容基準と比較するリスク評価である。