修了試験 2014-07-27実施分 基本情報技術者試験 問60

解説

正解は4です。 リスクアセスメントは、リスクを特定し、その発生の可能性と影響の大きさを評価する手順です。 これに基づく監査対象の選定では、リスクの大きいシステムを優先して監査します。 【選択肢別解説】 1：× 運用開始の時期の順に全システムを対象とする方法は、リスクの大きさを考慮していません。 リスクアセスメントに基づく選定ではありません。 2：× 監査の実施体制から実施できるシステムを選ぶのは、監査する側の都合による選定です。 リスクの大きさを評価して選ぶ方法ではありません。 3：× 無作為に抽出する方法では、リスクの大きいシステムが選ばれない可能性があります。 リスクアセスメントの結果を活用していません。 4：○ 問題が発生する可能性と、発生したときの影響が大きいシステムを対象にします。 リスクの大きさを評価して優先順位を付けるので、リスクアセスメントに基づく選定です。 【ポイント】 リスクの大きさは「発生の可能性×影響の大きさ」で評価します。 限られた監査資源を、リスクの大きい対象に重点的に配分するのがリスクアプローチの考え方です。