令和4年度 ITパスポート試験 公開問題 問86
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
情報セキュリティにおけるリスクアセスメントを，リスク特定，リスク分析，リスク評価の三つのプロセスに分けたとき，リスク分析に関する記述として，最も適切なものはどれか。
解答・解説
正解: ア. 受容基準と比較できるように，各リスクのレベルを決定する必要がある。
JIS Q 27000における情報セキュリティのリスクアセスメントは、「リスク特定」「リスク分析」「リスク評価」の3つのプロセスから構成されます。 リスク分析とは、特定されたリスクの特質を理解し、リスクレベルを決定するプロセスです。このプロセスで決定されたリスクレベルは、次の「リスク評価」のプロセスにおいて、リスク基準（受容基準）と比較されます。
各選択肢の解説
- ア：正解。「受容基準と比較できるように，各リスクのレベルを決定する必要がある。」は、リスク分析のプロセスにおける目的に合致します。
- イ：誤り。リスク分析は、リスク特定プロセスで特定されたリスクに対して行われます。必ずしもシステム上の全ての情報資産を無差別に分析対象にするわけではありません。
- ウ：誤り。リスクの種類や性質、利用可能なデータに応じて、定量的手法や定性的手法など適切な分析技法を選択・組み合わせることが一般的であり、特定した全てのリスクについて同じ分析技法を用いる必要はありません。
- エ：誤り。決定されたリスクレベルと受容基準を比較し、リスクが受容可能かどうかを決定するのは、リスク分析の次のプロセスであるリスク評価の役割です。