情報セキュリティマネジメント 平成29年度 秋期 午前 問5

✓ これが正解エ b, c, d

解説

特定するのは事象・その原因と結果・リスク源の三つです。

リスクアセスメントは、リスク特定、リスク分析、リスク評価という順に進みます。その入口にあたるリスク特定は、どんなリスクがあるのかを発見し、認識し、書き表す段階です。ここで挙げる対象は、リスクによって引き起こされる事象、その事象の原因および起こり得る結果、そしてリスクを顕在化させる可能性をもつリスク源です。いずれもリスクの姿を描くための材料であり、三つそろって初めて、何がきっかけで、何が起き、どう波及するのかを一つづきで捉えられます。一方、リスク対応に掛かる費用は、洗い出したリスクにどう手を打つかを決める段階で見積もるもので、洗い出しの対象には入りません。したがって、費用を含めず、事象と、その原因および起こり得る結果と、リスク源を挙げた組合せが正しくなります。

ほかの選択肢の解説

• ア a, b, d：手を打つ段階で見積もる費用を対象に入れてしまっている点が誤りです。加えて、事象の原因および起こり得る結果が抜けており、何がどう波及するのかを捉えられない組合せになっています。
• イ a, d：こちらも費用を含めているうえに、引き起こされる事象そのものと、その原因および起こり得る結果の両方が落ちています。洗い出しの材料としては大きく足りません。
• ウ b, c：費用を入れていない点は良いのですが、顕在化させる可能性をもつリスク源が欠けています。何が引き金になり得るのかを挙げないままでは、洗い出しとして不十分です。