セキュリティ｜令和元年度 秋期 ITパスポート試験（特別措置試験） 問56

• a，b
• ✓ これが正解a，b，c
• b，c，d
• c，d

解説

特定、分析、評価の三つがリスクアセスメントに含まれます。

リスクマネジメントは、危険を見つけて手を打つまでの一連の流れを指します。その中で、リスクアセスメントと呼ばれるのは、手を打つ前の見立ての部分です。まずリスク特定で、どんな危険がありうるかを洗い出します。次にリスク分析で、それが起きる見込みと、起きたときの大きさを見積もります。そしてリスク評価で、見積もった結果を基準と照らし、手を打つべきかどうかを決めます。この三つまでがアセスメントです。実際に手を打つリスク対応は、その結果を受けて行う次の段になります。見立てと手当てを分けておくと、何をどこまで調べたうえで決めたのかが後から追えます。リスク対応には、避ける、移す、減らす、受け入れるという選び方があります。どれを選ぶかは、大きさと費用を見比べて決めます。よって最も適切なのは、a、b、cを挙げたものです。

ほかの選択肢はなぜ違うのか

• aとbだけでは、リスク評価が抜けています。洗い出して見積もっただけでは、それが受け入れられる大きさなのかどうかの判断がついていません。基準と照らして決める段まで含めて、初めて見立てが終わります。順位づけができません。
• b、c、dの組は、リスク特定が抜けている一方で、手を打つリスク対応が入っています。洗い出しは見立ての出発点であり、手当ては見立ての後の段です。両端を取り違えた形になっています。洗い出しを飛ばすと、見えない危険が残ります。
• cとdの組は、評価と対応を並べたものです。対応は見立てを終えた後に行う段なので、アセスメントの中には入りません。また、洗い出しと見積もりが抜けているので、評価する材料もそろっていません。手当てだけが入っている点も外れています。

この問題に関係する言葉

• リスクアセスメントリスクを洗い出し（特定）、大きさを見積もり（分析）、対応の優先順位を決める（評価）までの一連の作業を指します。
• リスクマネジメントリスクを見つけて分析し、対応を決めて見直し続ける一連の活動です。組織に合わせて作られることが、原則の一つに挙げられています。
• リスク特定どこにどんな危険が潜んでいるかを、漏れなく洗い出す段階。ここで挙げ損ねたものは、後の段階では扱えません。
• リスク分析見つけた危険が、どのくらいの確からしさでどれだけの損害になるかを見積もること。大きさが分かって初めて順番を付けられます。
• リスク評価見積もったリスクの大きさを基準と照らし、どこから手を付けるかを決めること。特定・分析に続く三つ目の段です。
• リスク対応リスクを避ける・減らす・移す・受け入れるといった手立ての中から選んで実行すること。どれを選ぶかは、見積もった大きさと費用を見て決めます。

出典：令和元年度 秋期 ITパスポート試験（特別措置試験） 問56

この問題を演習で解く

同じ単元をまとめて解くならセキュリティへ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）