ITパスポート 令和4年度 問86

✓ これが正解ア 受容基準と比較できるように，各リスクのレベルを決定する必要がある。

解説

リスク分析は、比べられるようにリスクの大きさを決めます。

リスクアセスメントは、リスク特定、リスク分析、リスク評価という三つの段で進みます。まずリスク特定で、どこにどんな危険が潜んでいるのかを洗い出します。次のリスク分析では、洗い出した一つ一つについて、起きる見込みと起きたときの影響の大きさを見積もり、それぞれのリスクの大きさを決めます。この大きさが決まって初めて、あらかじめ用意した受容基準と並べて比べられるようになります。最後のリスク評価で、その比較をもとに、受け入れてよいのか、手を打つべきなのかを判断します。分析はリスクの大きさを決める段、評価はその大きさを受容基準と比べて受け入れるか手を打つかを決める段、と分けて覚えると迷いません。三つの段は順番が決まっていて、飛ばすことはできません。よって最も適切なのは、受容基準と比較できるように各リスクのレベルを決めるという記述です。

ほかの選択肢の解説

• イ 全ての情報資産を分析の対象にする必要がある。：すべての情報資産を分析の対象にしなければならない、という決まりはありません。数が多ければ手間ばかりかかるので、重要度の高いものから絞って進めるのが普通です。どこまでを対象にするかは、あらかじめ決めておく取り決めの一つです。技法の選び方も同じです。
• ウ 特定した全てのリスクについて，同じ分析技法を用いる必要がある。：特定したすべてのリスクに同じ分析技法を使う必要もありません。数字で表しやすいものは数量で、そうでないものは高中低のような段階で見積もるといった具合に、対象に合わせて使い分けてかまいません。
• エ リスクが受容可能かどうかを決定する必要がある。：リスクが受容できるかどうかを決めるのは、三つの段のうち最後のリスク評価です。分析はその手前で、比べるための大きさを求めるところまでを受け持ちます。どちらの段の話かを取り違えると、この記述を選んでしまいます。