問1 リスクアセスメントの 3 つのプロセス

情報セキュリティ​マネジメント試験 令和6年度 公開問題、全15問のうちの問1。

出典:令和6年度 情報セキュリティマネジメント試験 科目A・B 公開問題 問1

JIS Q 3⁠1⁠0⁠0⁠0:2⁠0⁠1⁠9(リスクマネジメント-指針)におけるリスクアセスメントを構成するプロセスの組合せはどれか。

  1. アリスク特定,リスク評価,リスク受容
  2. イリスク特定,リスク分析,リスク評価
  3. ウリスク分析,リスク対応,リスク受容
  4. エリスク分析,リスク評価,リスク対応
答えと解説を開く

正解はイです。

JIS Q 3⁠1⁠0⁠0⁠0 では、リスクアセスメントを、リスク特定、リスク分析、リスク評価を合わせた全体のプロセスとしています。リスク特定でリスクを見つけて書き出し、リスク分析でその性質や大きさを理解し、リスク評価で基準と比べて対応が必要かを決めます。リスク対応は、アセスメントの結果を受けて手を打つ別のプロセスで、アセスメントの中には入りません。3 つがそろっているのはイだけです。正解はイです。

ほかの選択肢が違う理由

  • アリスク分析が抜けています。また、リスク受容は、リスクをそのまま受け入れるという対応の選び方の一つで、リスクアセスメントを構成するプロセスではありません。
  • ウリスク特定とリスク評価が抜けています。リスク対応とリスク受容は、アセスメントの後に手を打つ側の話です。
  • エリスク特定が抜けています。リスク対応はアセスメントの後に続く別のプロセスで、リスクアセスメントには含まれません。

仕組み

リスクアセスメントは「調べて決める」までの段階です。見つける (特定)、理解して大きさを測る (分析)、基準と比べて対応の要否を決める (評価) の順に進みます。

手を打つ段階はリスク対応です。リスク受容 (保有) は、リスク対応の中の選択肢の一つです。アセスメントと対応を分けて覚えると、選択肢の入れ替えに気付けます。