リスクアセスメントの三段階はどう見分ける？
基本情報技術者試験 平成29年度秋期 午前 問43 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
リスクアセスメントを構成するプロセスの組合せはどれか。
- ア
リスク特定，リスク評価，リスク受容
- イ
リスク特定，リスク分析，リスク評価
- ウ
リスク分析，リスク対応，リスク受容
- エ
リスク分析，リスク評価，リスク対応
会話形式の解説
講師この問題は、リスクアセスメントに必要な三つのプロセスがそろっているかを確かめます。まず、何をリスクとして扱うかを明らかにする段階は何ですか。
受験者最初はリスク特定です。評価も必要そうですが、その間に何をするのか迷います。
講師特定したリスクの性質や大きさを把握するのがリスク分析です。その結果をリスク基準と照らすのがリスク評価です。二つはどう違いますか。
受験者分析でリスクを把握し、評価で基準と照らすのですね。続けて行うので、同じ段階だと思っていました。
講師別の段階として数えます。リスク特定、リスク分析、リスク評価が過不足なくそろう組合せが正解です。
受験者リスク特定とリスク評価にリスク受容を加えた組合せも、三つあります。それでは足りないのですか。
講師リスク分析が欠けています。リスク受容は、ここで問う三つのプロセスには含まれません。項目の数だけで判断しないことが大切です。
受験者リスク分析にリスク対応とリスク受容を加えた組合せは、特定も評価も欠けていますね。
講師そのとおりです。リスク対応とリスク受容を加えても、欠けた特定と評価は補えません。
受験者リスク分析とリスク評価にリスク対応を加えた組合せなら、最初のリスク特定がありません。
講師はい。リスク対応は、ここで問う三つの一つではありません。まず特定があるか、次に分析と評価がそれぞれあるかを確かめます。
受験者特定、分析、評価を別々に確認し、余分な項目がない組合せを選べばよいのですね。
まとめ
リスクアセスメントを構成するのは、リスク特定、リスク分析、リスク評価の三つです。特定で対象を明らかにし、分析で性質や大きさを把握し、評価で分析結果をリスク基準と照らします。組合せを選ぶときは、三つがすべて含まれ、リスク対応やリスク受容が代わりに入っていないかを確かめます。
解答・解説
正解はイです
この問題のテーマ
リスクアセスメントを構成するプロセスを問う問題です。
解き方の考え方
まず、リスクを洗い出す「特定」、性質や大きさを把握する「分析」、分析結果をリスク基準と照らす「評価」の順に考えます。そのうえで、三つが過不足なく含まれる組合せを選びます。
選択肢ごとの解説
- ×ア リスク特定，リスク評価，リスク受容リスク特定とリスク評価は含まれますが、リスクの性質や大きさを把握するリスク分析がありません。代わりに挙がっているリスク受容は、この三つのプロセスには含まれません。
- ○イ リスク特定，リスク分析，リスク評価リスク特定、リスク分析、リスク評価がそろっています。リスクアセスメントを構成する三つのプロセスと過不足なく一致するため、これが正解です。
- ×ウ リスク分析，リスク対応，リスク受容リスク分析は含まれますが、対象を洗い出すリスク特定と、基準に照らすリスク評価がありません。リスク対応とリスク受容を加えても、欠けた二つを補うことはできません。
- ×エ リスク分析，リスク評価，リスク対応リスク分析とリスク評価は含まれますが、最初に対象を洗い出すリスク特定がありません。リスク対応は、ここで問われている三つのプロセスの一つではありません。
POINT
- 「特定」は、何をリスクとして扱うかを明らかにする段階です。
- 「分析」と「評価」は別の段階で、評価では分析結果をリスク基準と照合します。
- 組合せの問題では、必要なプロセスがすべてあり、余分な項目がないかを確かめます。