リスクアセスメントに含まれる作業の見分け方
ITパスポート試験 令和3年度 問91 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
次の作業a〜dのうち、リスクマネジメントにおける、リスクアセスメントに含まれるものだけを全て挙げたものはどれか。 a 脅威や脆弱性などを使ってリスクレベルを決定する。 b リスクとなる要因を特定する。 c リスクに対してどのように対応するかを決定する。 d リスクについて対応する優先順位を決定する。
- ア
a，b
- イ
a，b，d
- ウ
a，c，d
- エ
c，d
会話形式の解説
講師この問題は、リスクアセスメントの三つの作業と、その後のリスク対応を区別するのがポイントです。
受験者「対応する優先順位」と「対応方法」が似ていて、どちらも含まれるように思いました。
講師リスクアセスメントには、リスク特定・リスク分析・リスク評価が含まれます。まず、この三つに作業を当てはめましょう。
受験者リスクとなる要因を見つける作業が、リスク特定ですか。
講師そのとおりです。脅威や脆弱性などを使ってリスクレベルを決める作業は、リスク分析に当たります。
受験者では、リスクへの対応の優先順位を決める作業が、リスク評価ですね。
講師はい。ここまでの三つがリスクアセスメントです。具体的にどう対応するかを決める作業は、リスク対応に属します。
受験者優先順位を決めることと、対応方法を決めることは別の作業なのですね。
講師そうです。特定と分析だけの組合せでは評価が抜けます。分析・評価・対応の組合せでは特定が抜け、対応も余分です。
受験者評価と対応だけの組合せも、特定と分析が抜けた上に、対応を含んでしまいます。
講師そのとおりです。特定・分析・評価の三つを含み、対応方法の決定を含まない「イ」が正解です。
受験者作業名だけで迷ったら、要因を見つけ、レベルを決め、優先順位を決める、という順に当てはめます。
講師特に「対応する優先順位」という表現に注意してください。優先順位の決定はリスク評価であり、対応方法の決定とは区別します。
まとめ
リスクアセスメントは、リスク特定・リスク分析・リスク評価から成ります。リスク要因の特定、リスクレベルの決定、対応の優先順位の決定がそれぞれに当たります。具体的な対応方法の決定はリスク対応に属します。したがって、三つの作業を含み、対応方法の決定を含まないイが正解です。
解答・解説
正解はイです
この問題のテーマ
リスクアセスメントに含まれる作業と、リスク対応に属する作業を区別する問題です。
解き方の考え方
リスクアセスメントは、リスク特定・リスク分析・リスク評価の三つから成ります。bの要因の特定、aのリスクレベルの決定、dの優先順位付けをそれぞれ当てはめます。cの対応方法の決定はリスク対応に属するため、除いて選びます。
選択肢ごとの解説
- ×ア a，bアのaとbは、それぞれリスク分析とリスク特定に当たります。しかし、リスク評価に当たるdの優先順位付けが含まれていません。
- ○イ a，b，dイのbはリスク特定、aはリスク分析、dはリスク評価に当たります。三つともリスクアセスメントに含まれ、リスク対応に属するcは含まれていません。
- ×ウ a，c，dウには、リスク特定に当たるbがありません。また、含まれているcの対応方法の決定は、リスクアセスメントではなくリスク対応に属します。
- ×エ c，dエには、リスク特定のbとリスク分析のaがありません。さらに、cの対応方法の決定はリスク対応に属します。
補足
「対応する優先順位」と「対応方法」は似ていますが、作業が異なります。優先順位を決めるところまでがリスクアセスメントで、具体的にどう対応するかを決めるのはリスク対応です。
POINT
- リスクアセスメントは、リスク特定・リスク分析・リスク評価から成ります。
- 要因を見つけるbはリスク特定、リスクレベルを決めるaはリスク分析です。
- 対応する優先順位を決めるdはリスク評価、対応方法を決めるcはリスク対応です。