ITパスポート｜情報セキュリティマネジメント 問10
ISMS における情報セキュリティリスクアセスメントでは、リスクの特定、分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。
- a
- あらかじめ定めた基準によって、分析したリスクの優先順位付けを行う。
- b
- 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。
- c
- リスクが顕在化したときに、対応を実施するかどうかを判断するための基準を定める。
正解：ア
解説
ISMS（Information Security Management System）のリスクアセスメントは、リスク特定（洗い出す）→ リスク分析（レベルを決める）→ リスク評価（基準と比べて優先順位を付ける）の順です。基準は、リスクアセスメントを始める前に決めておきます。
- a
- リスク評価で行う。基準に照らして優先順位を付けます。
- b
- リスク特定で行う。リスクを洗い出します。
- c
- リスクアセスメントの前に行う。判断の基準（リスク受容基準など）は、あらかじめ定めておきます。
- ア 正解。リスクの評価で行うのは a だけです。
出典：平成30年度秋期 ITパスポート試験 公開問題 問99（読点「，」を「、」に改変）