ISMSのリスクアセスメントは何から始めるか
ITパスポート試験 令和3年度 問88 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
ISMSのリスクアセスメントにおいて，最初に行うものはどれか。
- ア
リスク対応
- イ
リスク特定
- ウ
リスク評価
- エ
リスク分析
会話形式の解説
講師この問題では、リスクアセスメントの活動を行う順序に注目します。
受験者リスクを調べるなら、分析から始めるように思えます。
講師分析するには、まず対象となるリスクを明らかにする必要があります。その段階がリスク特定なので、正解はリスク特定です。
受験者リスク分析は、特定した後に何を調べるのですか。
講師特定したリスクの発生可能性や影響を調べます。対象が決まってから行うため、最初の活動ではありません。
受験者リスク評価も、分析と同じように調べる段階ですか。
講師評価では、分析結果を基準と照合します。順序は特定、分析、評価です。
受験者では、リスク対応は評価の結果を踏まえて行うのですね。
講師そのとおりです。対応を最初に選ぶのではなく、まず何を分析するかを特定する、と整理しましょう。
まとめ
ISMSのリスクアセスメントは、リスクの特定、分析、評価の順に進みます。最初に行うのは、分析の対象を明らかにするリスク特定です。分析では発生可能性や影響を調べ、評価では分析結果を基準と照合します。リスク対応は評価した結果を踏まえて行います。
解答・解説
正解はイです
この問題のテーマ
ISMSのリスクアセスメントで、リスクの特定・分析・評価をどの順に行うかを問う問題です。
解き方の考え方
まず、各選択肢を「特定→分析→評価」の順に並べます。分析する対象を明らかにしなければ、その発生可能性や影響を調べられません。したがって、最初に行うのはリスク特定です。
選択肢ごとの解説
- ×ア リスク対応リスク対応は、評価した結果を踏まえて行う活動です。リスクアセスメントの最初の活動には当たりません。
- ○イ リスク特定リスク特定では、分析の対象となるリスクを明らかにします。分析や評価に先立って行うため、これが正解です。
- ×ウ リスク評価リスク評価では、分析結果を基準と照合します。結果を使う段階なので、特定や分析より先には行いません。
- ×エ リスク分析リスク分析では、特定したリスクの発生可能性や影響を調べます。対象のリスクを特定した後に行うため、最初ではありません。
補足
「分析」と「評価」は似た言葉ですが、この問題では役割が異なります。分析でリスクを調べ、その結果を評価で基準と照合する、と整理すると順序を判断しやすくなります。
POINT
- リスクアセスメントは「特定→分析→評価」の順に進みます。
- リスク特定は、何を分析するかを明らかにする段階です。
- リスク分析では、特定したリスクの発生可能性や影響を調べます。
- リスク評価では、分析結果を基準と照合します。