情報セキュリティマネジメント 平成28年度 秋期 午前 問8

✓ これが正解イ リスクが受容可能か否かを決定するために，リスク分析の結果をリスク基準と比較するプロセス

解説

分析の結果をリスク基準と比べて受け入れられるか決めます。

リスクを扱う一連の流れは、まずどんなリスクがあるかを洗い出すリスク特定、次にその性質を理解して大きさを決めるリスク分析、そして分析で出た結果を、あらかじめ決めておいたリスク基準と照らして、受け入れてよいかどうかを決めるリスク評価、と続きます。設問が聞いているのはこの最後の判断のところです。用語の規格でも、リスクやその大きさが受容できるか許容できるかを決めるために、リスク分析の結果をリスク基準と比較するプロセスと定められています。手を打つのは判断が済んだ後なので、対策そのものはリスク評価には含まれません。

ほかの選択肢の解説

• ア 対策を講じることによって，リスクを修正するプロセス：手を打ってリスクを変える働きかけのことで、リスク対応と呼ばれる段階です。受け入れられるかどうかの見極めが済んだ後に来るものなので、その見極めそのものを指す言葉ではありません。
• ウ リスクの特質を理解し，リスクレベルを決定するプロセス：どういう性質を持ち、どれくらいの大きさなのかを見定める段階で、リスク分析に当たります。ここで出た結果をものさしに照らすのが次の段階なので、両者は前後の関係にあります。
• エ リスクの発見，認識及び記述を行うプロセス：どんなリスクがあるのかを見つけ出し、それと認めて書き表す段階で、リスク特定に当たります。一連の流れのいちばん最初に来るもので、受け入れの可否を決める場面ではありません。