情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度秋期 午前 問5: a 〜 d のうち，リスクアセスメントプロセスのリスク特定において特定する対象だけを全て挙げたものはどれか。 〔特定する対象〕 a リスク対応に掛かる費用 b

問題本文

a 〜 d のうち，リスクアセスメントプロセスのリスク特定において特定する対象だけを全て挙げたものはどれか。 〔特定する対象〕 a リスク対応に掛かる費用 b リスクによって引き起こされる事象 c リスクによって引き起こされる事象の原因及び起こり得る結果 d リスクを顕在化させる可能性をもつリスク源

選択肢

• ア.a，b，d
• イ.a，d
• ウ.b，c
• エ.b，c，d

正解

エ. b，c，d

解説

リスク特定は、リスクアセスメントの最初の段階で、リスク源・事象・原因・起こり得る結果を発見し認識・記述するプロセスである。bの事象、cの事象の原因と結果、dのリスク源はいずれもリスク特定で特定する対象に該当する。一方、aのリスク対応に掛かる費用はリスク対応の検討段階で扱う事項でありリスク特定の対象ではないため、b・c・dを挙げたエが正解である。

選択肢ごとの解説

• ア.誤り。bとdは対象だが、aのリスク対応費用は含むべきでない（cが抜けている点も不適切）。
• イ.誤り。aは対象外であり、対象であるbとcが含まれていない。
• ウ.誤り。bとcは対象だが、対象であるリスク源dが含まれていない。
• エ.正しい。事象b、原因と結果c、リスク源dはいずれもリスク特定で特定する対象であり、費用aは含まない。