情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和4年度秋期 午前Ⅰ 問13: JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。

正解

イ. リスク特定，リスク分析，リスク評価

問題の解説

JIS Q 31000のリスクアセスメントは、リスク特定(何が起こりうるか洗い出す)・リスク分析(発生可能性と影響度を分析する)・リスク評価(分析結果を基準と照らし対応要否を判断する)の3プロセスで構成される。これに一致するイが正解。リスク対応や受容はアセスメントの後続工程で、別概念。実務ではアセスメント結果が対応策の優先順位付けや経営判断の根拠となる。

選択肢ごとの解説

• アリスク受容はアセスメント後の対応段階に属し、構成プロセスに含めるのは誤り。
• イリスク特定・分析・評価の3つでアセスメントを正しく構成しており正しい。
• ウリスク対応・受容はアセスメント後の工程で、特定が欠けている点でも誤り。
• エリスク対応はアセスメントの外であり、特定が欠落している点でも誤り。