平成23年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25

✓ これが正解ウリスクの評価

解説

詳細リスク分析では、資産ごとにリスクを洗い出して評価します。

詳細リスク分析は、ISMS でリスクを分析する手法の一つで、情報資産を一つずつ取り上げて丁寧に調べる方法です。資産ごとに、その価値、資産を脅かす脅威、つけ込まれる脆弱性を洗い出し、それらを組み合わせてリスクの大きさを見積もり、評価します。手間はかかりますが、資産ごとに実情に合ったリスクの大きさが分かるのが長所です。リスクへの取組みは、方針を決める、リスクを分析して評価する、その結果を受けて対応を決める、という順に進みます。問われているのは分析手法の中で行う作業なので、この順序のどこに当たるかで見分けます。リスクの評価は分析の中で行います。

ほかの選択肢はなぜ違うのか

• ア情報セキュリティポリシの作成：情報セキュリティポリシの作成は、組織としての方針を定める作業で、リスクを分析するよりも前の段階で行います。詳細リスク分析という手法の中で行う作業ではありません。
• イセーフガードの選択：セーフガード、つまり管理策の選択は、リスクを分析して評価した結果を受けて、どう対応するかを決める段階の作業です。分析手法そのものの中で行うものではありません。
• エリスクの容認：リスクの容認は、分析と評価を終えた後に、残るリスクを受け入れるかどうかを経営陣などが判断する作業です。分析の後の対応の段階に当たり、分析の中の作業ではありません。