情報セキュリティマネジメント 平成30年度 秋期 午前 問7

✓ これが正解ウ リスクの特質を理解し，リスクレベルを決定するプロセス

解説

リスクの特質を理解しリスクレベルを決定するのがリスク分析です。

設問が引くJIS Q 27000:2014は、リスク分析を、リスクの特質を理解し、リスクレベルを決定するプロセスと定義しています。リスクアセスメントの中の位置づけで見ると、まずどんなリスクがあるかを発見して洗い出し（リスク特定）、次にその中身を理解して大きさを見積もり（リスク分析）、その結果をリスク基準と突き合わせて受容できるかを判断します（リスク評価）。リスク分析はこの真ん中の段階で、リスクレベルという大きさの決定までを受け持ちます。なお、このリスク分析の定義文は、現行のJIS Q 27000:2019でも同じです。

ほかの選択肢の解説

• ア 適切な管理策を採用し，リスクを修正するプロセス：適切な管理策を採用してリスクを修正するのは、アセスメントの結果を受けて手を打つリスク対応の側の記述です。リスクの中身を理解して見積もる作業そのものではありません。
• イ リスクが受容可能か又は許容可能かを決定するために，リスク及びその大きさをリスク基準と比較するプロセス：リスクの大きさをリスク基準と比較して受容の可否を決めるという説明は、リスク評価に当たります。分析が出した結果を受け取って判断する、一つ後の段階の仕事です。
• エ リスクを発見，認識及び記述するプロセス：リスクを発見、認識及び記述するプロセスは、リスク特定の定義です。何があるかを洗い出す入口の段階であり、特質の理解やリスクレベルの決定はその先で行います。