情報セキュリティマネジメント 平成29年度 春期 午前 問6

✓ これが正解イ リスク特定 → リスク分析 → リスク評価 → リスク対応

解説

洗い出し、分析、評価と進んでから対応に移ります。

リスクマネジメントの手順は、まず何が起こり得るかを洗い出すリスク特定から始まります。次に、洗い出したものの性質や起こりやすさ、影響の大きさをつかむリスク分析を行い、その結果をもとに、どこから手を付けるべきかという判断を裏付けるリスク評価を行います。ここまでの三つをまとめてリスクアセスメントと呼びます。見積もりが済んで初めて、避ける、減らす、移す、受け入れるといった手立てを選んで実行するリスク対応へ移ります。大きさが分からないうちに手を打つと、労力の掛けどころを外してしまいます。したがって、特定、分析、評価、対応の順に並ぶものが適切です。

ほかの選択肢の解説

• ア リスク特定 → リスク対応 → リスク分析 → リスク評価：手立ての実行が二番目に置かれ、性質や大きさを見極める作業が後ろへ回っています。どれだけの手間を掛けるべきかを決められないまま動くことになり、実行の順序として成り立ちません。
• ウ リスク評価 → リスク特定 → リスク分析 → リスク対応：先頭に判断を裏付ける段階が置かれていますが、何があるかを挙げる前では裏付ける材料がそろいません。材料をそろえる作業より前に判定を置いている点で、並びが崩れています。
• エ リスク評価 → リスク分析 → リスク特定 → リスク対応：判断を裏付ける段階と性質をつかむ段階が、いずれも洗い出しより前に来ています。後ろにあるべき段階から先に始める形になっており、本来の並びと逆向きです。