情報セキュリティマネジメント 平成30年度 春期 午前 問3

✓ これが正解イ リスクとその大きさが受容可能か否かを決定するために，リスク分析の結果をリスク基準と比較するプロセス

解説

分析結果をリスク基準と比べ受容の可否を決めるのがリスク評価です。

設問が引くJIS Q 27000:2014は、リスク評価を、リスクとその大きさが受容できるかどうかを決めるために、リスク分析の結果をリスク基準と比較するプロセスと定義しています。リスクアセスメントは、リスク特定、リスク分析、リスク評価という三つが続いた流れになっていて、まずどんなリスクがあるかを洗い出し、次にその特質を理解して大きさを決め、最後に、その大きさをあらかじめ用意しておいたものさしと突き合わせて、受け入れてよいかを判断します。リスク評価はこの最後の判断の段階です。突き合わせる相手がリスク基準であること、そして出口が受容の可否であること、この二つがそろっているのは一つの選択肢だけです。

ほかの選択肢の解説

• ア 対策を講じることによって，リスクを修正するプロセス：対策を講じてリスクを修正するという記述は、判断を終えたあとに実際の手を打つリスク対応の側の話です。ものさしと照らして受け入れの可否を決める段階の説明にはなっていません。
• ウ リスクの特質を理解し，リスクレベルを決定するプロセス：リスクの特質を理解してリスクレベルを決めるところまでは、リスク分析が受け持つ範囲です。決まった大きさをリスク基準に照らす判断は、そのあとに続く別の段階になります。
• エ リスクの発見，認識及び記述を行うプロセス：リスクを発見し、認識し、記述するのはリスク特定の役割で、リスクアセスメントの入口にあたります。受け入れられるかどうかという出口の判断とは、担う場所が違います。