情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 令和7年度 科目A 公開問題 問1: JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクマネジメントプロセスに関する記述のうち，適切なものはどれか。

問題本文

JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクマネジメントプロセスに関する記述のうち，適切なものはどれか。

選択肢

• ア.リスク対応の意義は，プロセスの設計，実施及び結末の質及び効果を保証し，改善することである。
• イ.リスク特定の意義は，リスクに対処するための選択肢を選定し，実施することである。
• ウ.リスク評価の意義は，組織の目的の達成を助ける又は妨害する可能性のあるリスクを発見し，認識し，記述することである。
• エ.リスク分析の意義は，必要に応じてリスクのレベルを含め，リスクの性質及び特徴を理解することである。

正解

エ. リスク分析の意義は，必要に応じてリスクのレベルを含め，リスクの性質及び特徴を理解することである。

解説

JIS Q 31000のリスクアセスメントは「リスク特定（発見・認識・記述）→リスク分析（性質・特徴やリスクレベルの理解）→リスク評価（分析結果と基準を比較し対応の要否を決定）」の順で進み，その後にリスク対応（対処の選択肢の選定と実施）が続く。エはリスク分析の意義を正しく述べているため正解。各プロセスの目的を取り違えていない記述を選ぶ点が要点である。

選択肢ごとの解説

• ア.「プロセスの設計，実施及び結末の質及び効果を保証し改善する」のはモニタリング及びレビューの意義であり，リスク対応の説明ではないため誤り。
• イ.「リスクに対処するための選択肢を選定し実施する」のはリスク対応の意義であり，リスク特定の説明ではないため誤り。
• ウ.「リスクを発見し，認識し，記述する」のはリスク特定の意義であり，リスク評価の説明ではないため誤り。
• エ.リスクの性質・特徴を理解し必要に応じてリスクレベルを含めて把握するのはリスク分析の意義そのものであり，正しい。