情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度春期 午前 問6: JIS Q 31000:2010（リスクマネジメント－原則及び指針）において，リスクマネジメントは，“リスクについて組織を指揮統制するための調整された活動”と定

正解

イ. リスク特定 → リスク分析 → リスク評価 → リスク対応

正答率 62.7%（51人中 32人が正解）

問題の解説

本問はリスクマネジメントプロセスの正しい実行順序を問う。リスクは、まず洗い出し（リスク特定）、その大きさを見積もり（リスク分析）、基準と照らして優先度を判断し（リスク評価）、最後に対策を講じる（リスク対応）という順で扱う。正解はイで、特定→分析→評価の3段階をまとめてリスクアセスメントと呼び、その後に対応を行う。

選択肢ごとの解説

• ア誤り。対応を分析・評価より前に行うことはできず、順序が不適切である。
• イ正しい。リスク特定→リスク分析→リスク評価（=リスクアセスメント）→リスク対応が規格の定める正しい順序である。
• ウ誤り。評価を最初に行うことはできず、特定や分析より前に評価を置くのは不適切である。
• エ誤り。評価・分析を特定より前に置いており、対象を洗い出す前に評価・分析はできないため不適切である。