令和4年度 ITパスポート試験 問86

解説

正解は1です。 リスクアセスメントを構成するリスク特定、リスク分析、リスク評価のうち、リスク分析に関する記述を選ぶ問題です。 リスク特定は、リスクを洗い出すことです。 リスク分析は、リスクの特質を理解し、リスクレベルを決めることです。 リスク評価は、分析の結果をリスク受容基準と比べ、対応の要否を決めることです。 【選択肢別解説】 1：○ リスク分析では、発生の可能性と影響の大きさなどから各リスクのレベルを決定します。 決定したレベルは、次のリスク評価で受容基準と比較するために使われます。 2：× 分析の対象は、リスク特定で洗い出したリスクです。 すべての情報資産を一律に分析の対象にしなければならないわけではありません。 3：× リスクの性質や重要度に応じて、定性的な手法や定量的な手法などを使い分けてよく、すべてに同じ分析技法を用いる必要はありません。 4：× リスクが受容可能かどうかを決定するのは、リスク分析ではなくリスク評価のプロセスです。 【ポイント】 リスクアセスメントは「洗い出す（特定）」「レベルを決める（分析）」「受容できるか判断する（評価）」の順に進みます。