情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度春期 午前 問3: JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として，適切なものはどれか。

正解

イ. リスクとその大きさが受容可能か否かを決定するために，リスク分析の結果をリスク基準と比較するプロセス

正答率 48.1%（54人中 26人が正解）

問題の解説

JIS Q 27000におけるリスクアセスメントは，リスク特定→リスク分析→リスク評価の順に構成される。このうちリスク評価とは，リスク分析の結果をあらかじめ定めたリスク基準と比較し，リスクとその大きさが受容可能か否かを決定するプロセスである。これに合致する選択肢イが正解である。

選択肢ごとの解説

• ア対策を講じてリスクを修正するプロセスはリスク対応の説明であり，リスク評価ではない。
• イリスク分析の結果をリスク基準と比較し受容可能か否かを決定するという，リスク評価の定義に合致する。
• ウリスクの特質を理解しリスクレベルを決定するプロセスはリスク分析の説明であり，リスク評価ではない。
• エリスクの発見・認識・記述を行うプロセスはリスク特定の説明であり，リスク評価ではない。