令和3年度 ITパスポート試験 問91

解説

正解は2です。 この問題は、リスクマネジメントの作業のうち、リスクアセスメントに含まれるものを問うています。 リスクアセスメントは、リスク特定、リスク分析、リスク評価の3つのプロセスからなります。 リスクにどう対応するかを決めるリスク対応は、リスクアセスメントの後に行う別のプロセスです。 【記述別解説】 a：○ 脅威や脆弱性などを使ってリスクレベルを決定するのは、リスク分析の作業です。 リスクアセスメントに含まれます。 b：○ リスクとなる要因を特定するのは、リスク特定の作業です。 リスクアセスメントに含まれます。 c：× リスクにどのように対応するかを決定するのは、リスク対応の作業です。 リスクアセスメントには含まれません。 d：○ リスクに対応する優先順位を決定するのは、リスク評価の作業です。 リスクアセスメントに含まれます。 【選択肢別解説】 1：× dのリスク評価もリスクアセスメントに含まれるので、不足しており誤りです。 2：○ リスクアセスメントに含まれるa、b、dだけを挙げており、適切です。 3：× cはリスク対応の作業でリスクアセスメントに含まれず、bも欠けているので誤りです。 4：× cはリスクアセスメントに含まれず、aとbも欠けているので誤りです。 【ポイント】 リスクマネジメントの流れは、リスクアセスメント（特定、分析、評価）、リスク対応の順です。 リスク評価で決めた優先順位に基づいて、リスク対応で具体的な対策を選びます。