情報資産管理とリスクアセスメント・リスク対応｜平成29年度 秋期 情報セキュリティマネジメント試験 午前 問5

• a, b, d
• a, d
• b, c
• ✓ これが正解b, c, d

解説

特定するのは事象・その原因と結果・リスク源の三つです。

リスクアセスメントは、リスク特定、リスク分析、リスク評価という順に進みます。その入口にあたるリスク特定は、どんなリスクがあるのかを発見し、認識し、書き表す段階です。ここで挙げる対象は、リスクによって引き起こされる事象、その事象の原因および起こり得る結果、そしてリスクを顕在化させる可能性をもつリスク源です。いずれもリスクの姿を描くための材料であり、三つそろって初めて、何がきっかけで、何が起き、どう波及するのかを一つづきで捉えられます。一方、リスク対応に掛かる費用は、洗い出したリスクにどう手を打つかを決める段階で見積もるもので、洗い出しの対象には入りません。したがって、費用を含めず、事象と、その原因および起こり得る結果と、リスク源を挙げた組合せが正しくなります。

ほかの選択肢はなぜ違うのか

• 手を打つ段階で見積もる費用を対象に入れてしまっている点が誤りです。加えて、事象の原因および起こり得る結果が抜けており、何がどう波及するのかを捉えられない組合せになっています。
• こちらも費用を含めているうえに、引き起こされる事象そのものと、その原因および起こり得る結果の両方が落ちています。洗い出しの材料としては大きく足りません。
• 費用を入れていない点は良いのですが、顕在化させる可能性をもつリスク源が欠けています。何が引き金になり得るのかを挙げないままでは、洗い出しとして不十分です。

この問題に関係する言葉

• リスク特定どこにどんな危険が潜んでいるかを、漏れなく洗い出す段階。ここで挙げ損ねたものは、後の段階では扱えません。
• リスク源リスクを生じさせる可能性をもつ、もとになるもののことです。事象やその原因・結果とあわせて、リスク特定で洗い出します。
• リスクアセスメントリスクを洗い出し（特定）、大きさを見積もり（分析）、対応の優先順位を決める（評価）までの一連の作業を指します。
• リスク対応リスクを避ける・減らす・移す・受け入れるといった手立ての中から選んで実行すること。どれを選ぶかは、見積もった大きさと費用を見て決めます。

出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問5

この問題を演習で解く

同じ単元をまとめて解くなら情報資産管理とリスクアセスメント・リスク対応へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）