ISMSにおける情報セキュリティリスクの取扱いに関する“リスク及び機会に対処する活動”には，リスク対応，リスク評価，リスク分析が含まれる。
この活動の流れとして，適切なものはどれか。
正答4
解説
正解は4です。
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）では、情報セキュリティリスクを特定し、その大きさを分析し、基準と比べて評価し、対応を決める順序で進めます。
この問題では、リスク分析、リスク評価、リスク対応の順番が問われています。
【選択肢別解説】
1：× リスク対応を最初に行っていますが、リスクの大きさがわからないうちは適切な対応を決められません。
2：× リスク評価をリスク分析より前に行っていますが、評価は分析で求めたリスクの大きさを基準と比べる作業なので、分析が先です。
3：× リスク対応をリスク評価より前に行っていますが、どのリスクに優先して対応するかは評価で決めるので、評価が先です。
4：○ リスク分析で大きさを求め、リスク評価で受容できるかや優先順位を判断し、リスク対応で具体的な対策を決めるという正しい順序です。
【ポイント】
JIS Q 27001では、リスク特定・リスク分析・リスク評価をまとめてリスクアセスメントと呼びます。
「分析してから評価し、評価してから対応する」と覚えましょう。