ITパスポート 令和3年度 問91

✓ これが正解イ a，b，d

解説

リスクアセスメントは特定と分析と評価で、対応は入りません。

リスクアセスメントは、リスク特定、リスク分析、リスク評価の三つをまとめた呼び名です。作業aは、脅威や脆弱性を使ってリスクレベルを決めるとあり、これは重さを見積もる作業なのでリスク分析にあたります。作業bは、リスクとなる要因を特定するとあり、そのままリスク特定です。作業dは、対応する優先順位を決めるとあり、見積もった重さを基準と照らして順を付ける作業なのでリスク評価に入ります。残る作業cは、どのように対応するかを決めるとあり、これは三つを終えた後ろに続くリスク対応です。決める相手がリスクそのものなのか、打つ手のほうなのかで分けると迷いません。aは見積もる作業、bは洗い出す作業、dは順を付ける作業だと押さえます。よって挙げるべきものは、作業a、作業b、作業dということになります。

ほかの選択肢の解説

• ア a，b：作業aと作業bはどちらも三つの中に入りますが、作業dが抜けています。優先順位を決める作業は、見積もった重さを基準と照らして順を付けるものなので、リスク評価にあたり、三つの中に含まれることになります。順を付けるところまでが、アセスメントの中に入ります。
• ウ a，c，d：作業aと作業dは入りますが、作業cが混じっています。どのように対応するかを決める作業は、三つを終えた後ろに続くリスク対応です。さらにリスク特定にあたる作業bのほうも抜けており、二重に外れています。
• エ c，d：作業dは入りますが、作業cは三つを終えた後ろに続くリスク対応です。加えて、見積もる作業aと、洗い出す作業bの二つが抜けています。三つのうち二つを落としたうえで、別の段にあるものを入れている形になります。