情報セキュリティマネジメント 令和6年度 科目A 問1

✓ これが正解イ リスク特定，リスク分析，リスク評価

解説

リスク特定・リスク分析・リスク評価の三つで構成されます。

リスクアセスメントは、設問が引く JIS Q 31000:2019 で、リスク特定、リスク分析及びリスク評価を網羅するプロセス全体とされています。まずどんなリスクがあるかを洗い出し、次にその性質と大きさを理解し、そのうえで判断を裏付ける。この三つがひと続きの見積り作業です。よく混ざるのがリスク対応とリスク受容で、これらはアセスメントの結果を受けて手を打つ側の話なので、アセスメントの構成には入りません。

見積るところまでがアセスメント、と区切って覚えると混ざりません。

ほかの選択肢の解説

• ア リスク特定，リスク評価，リスク受容：リスク受容は、見積った結果を踏まえてそのリスクを受け入れると決めることで、アセスメントの後に来る判断です。しかもこの組合せには、真ん中に来るリスク分析が欠けています。余分なものが入り、必要なものが抜けているので、構成として成り立ちません。
• ウ リスク分析，リスク対応，リスク受容：リスク対応もリスク受容も、アセスメントの結果を受けて手を打つ側の活動です。しかもリスク特定が欠けているため、洗い出しから始まるアセスメントの構成にはなりません。
• エ リスク分析，リスク評価，リスク対応：リスク分析とリスク評価は含まれますが、リスク対応はアセスメントの後の段階です。さらに最初のリスク特定が欠けているので、この組合せは構成として成り立ちません。