分類テクノロジ系 » セキュリティ » 情報セキュリティ管理新しい試験24-3 リスクマネジメント年度令和4年度の100問の一覧
情報セキュリティにおけるリスクアセスメントを，リスク特定，リスク分析，リスク評価の三つのプロセスに分けたとき，リスク分析に関する記述として，最も適切なものはどれか。
正解と解説
正解：ア
ア○ 正解 リスク分析では、影響の大きさと起こりやすさから各リスクのレベルを決めます。これが次のリスク評価で受容基準と比べる材料になります。
イ× 分析するのは、前の段階のリスク特定で洗い出したリスクです。全ての情報資産を分析の対象にすることが求められているわけではありません。
ウ× 分析のしかたは、リスクの種類や手に入る情報に合わせて選ぶものです。全てのリスクに同じ分析技法を使う必要はありません。
エ× リスクが受容できるかどうかを決めるのは、リスクレベルを受容基準と比べるリスク評価の段階です。
解説
リスクアセスメントは3つの段階で進めます。リスク特定でどんなリスクがあるかを洗い出し、リスク分析でそれぞれのリスクが起きたときの影響の大きさと起こりやすさを見積もって、2つを組み合わせたリスクレベルを決め、リスク評価でそのレベルをあらかじめ決めた基準と比べて、対応が要るかどうかと優先順位を決めます。
分析の仕事はリスクレベルを決めるところまでで、受け入れるかどうかの判断は次の評価の仕事です。分析でレベルを出しておくから、評価で受容基準と比べられます。
教科書 24-3この問題の知識
リスクマネジメントは、守る範囲と情報資産を決め、リスクを特定・分析・評価して、どれにどう手を打つかを選ぶ活動です。情報資産台帳と重要度、分析と評価の違い、回避・低減・共有（移転）・保有の見分け方と呼び名の違いまでを、公開問題を解ける形でまとめます。
この節で扱うこと：情報資産とリスク・情報セキュリティリスクアセスメント・情報セキュリティリスク対応
Udemy の ITパスポート講座を、受講者数・★評価・口コミで比べたページです（広告を含みます）。
過去問教科書の一覧（現行の試験の順）教科書の一覧（新しい試験の順）
出典：IPA「ITパスポート試験 公開問題」令和4年度 問86。問題文と選択肢は改変せずに引用しています（表・図は文字に書き起こしたもの）。正解は IPA 公表の解答例によります。