リスクアセスメントを構成する三つのプロセスと、含まれない語の見分け方
情報セキュリティマネジメント試験 令和6年度 問1 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JIS Q 31000:2019(リスクマネジメント－指針)におけるリスクアセスメントを構成するプロセスの組合せはどれか。
- ア
リスク特定，リスク評価，リスク受容
- イ
リスク特定，リスク分析，リスク評価
- ウ
リスク分析，リスク対応，リスク受容
- エ
リスク分析，リスク評価，リスク対応
会話形式の解説
講師今回はJIS Q 31000:2019、つまりリスクマネジメントの指針となる規格で、リスクアセスメントがどのプロセスでできているかを問う問題です。アセスメントの範囲がどこからどこまでかに注目してください。
受験者リスク特定、分析、評価、対応、受容と似た言葉が並んでいて迷いました。リスクを見つけて手を打つまでが全部アセスメントのような気もします。
講師そう感じる人は多いです。でも、リスクアセスメントは「リスク特定→リスク分析→リスク評価」の三つのプロセスで構成されます。手を打つ部分は、その後の別の段階です。
受験者では、それぞれのプロセスでは何をするのですか。
講師特定では、リスクを洗い出して明らかにします。分析では、発生可能性や影響の程度などからリスクの性質と規模を把握します。評価では、分析結果をリスク基準に照らして、対応が必要かどうかや優先順位を判断します。
受験者そうすると、リスク特定・リスク分析・リスク評価の組合せがそのまま当てはまりますね。
講師そのとおりです。ほかの選択肢は、アセスメントの外にある語が入っていないか、三つがそろっているかの二点で確かめられます。
受験者リスク特定・評価・受容の組合せは、特定と評価までは合っているので惜しい気がします。
講師惜しく見えますが、リスク受容はリスクを引き受けるという意思決定で、アセスメントを構成するプロセスではありません。それに、性質と規模を把握するリスク分析が抜けています。
受験者リスク分析・評価・対応の組合せは、順番も自然で一番迷いました。評価の次に対応が来るのは流れとして合っていると思うのですが。
講師流れとしては合っています。ただ、リスク対応はアセスメントの結果を受けて行う次の段階なので、アセスメントそのものには含まれません。しかも出発点のリスク特定が抜けています。
受験者リスク分析・対応・受容の組合せは、対応も受容も外の語で、特定と評価も欠けているので、はっきり誤りですね。
講師はい、その確認で十分です。最後に一つ補足します。「リスク評価」と「リスクアセスメント」は名前が似ていますが同じ意味ではありません。リスク評価はアセスメントを構成する一つのプロセスで、アセスメントは特定から評価までをまとめて指す言葉です。
受験者アセスメントは特定・分析・評価の三つで、対応や受容はその外側にあると整理しておきます。
まとめ
JIS Q 31000:2019では、リスクアセスメントはリスク特定、リスク分析、リスク評価の三つのプロセスで構成されます。リスク分析では発生可能性や影響の程度からリスクの性質と規模を把握し、リスク評価では分析結果をリスク基準に照らして対応の必要性や優先順位を判断します。リスク対応やリスク受容はアセスメントの結果を受けて行うもので、アセスメントには含まれません。「リスク評価」はアセスメントの一部であり、アセスメント全体と同じ意味ではない点にも注意が必要です。
解答・解説
正解はイです
この問題のテーマ
JIS Q 31000:2019で、リスクアセスメントがどのプロセスで構成されるかを問う問題です。リスクマネジメント全体のプロセスのうち、アセスメントに含まれる範囲を正しく押さえているかが試されます。
解き方の考え方
まず、リスクアセスメントは「リスク特定→リスク分析→リスク評価」の順に進む三つのプロセスでできている、という基本を思い出します。次に、各選択肢にアセスメントの外にある語、つまり「リスク対応」や「リスク受容」が入っていないかを確認します。最後に、三つのプロセスが過不足なくそろっているかを見ます。この二つの確認で、正解はリスク特定・分析・評価の組合せに絞り込めます。
選択肢ごとの解説
- ×ア リスク特定，リスク評価，リスク受容リスク特定、リスク評価、リスク受容の組合せは誤りです。リスク受容はリスクを引き受けるという意思決定で、リスクアセスメントを構成するプロセスではありません。また、リスクの性質や規模を把握するリスク分析が抜けています。
- ○イ リスク特定，リスク分析，リスク評価リスク特定、リスク分析、リスク評価の組合せが正解です。リスクを洗い出して明らかにし（特定）、発生可能性や影響の程度などから性質と規模を把握し（分析）、その結果をリスク基準に照らして対応の必要性を判断する（評価）という三段階で、アセスメントが構成されます。
- ×ウ リスク分析，リスク対応，リスク受容リスク分析、リスク対応、リスク受容の組合せは誤りです。リスク対応とリスク受容はどちらもリスクアセスメントの構成に含まれません。さらに、最初に行うリスク特定と、最後に行うリスク評価が欠けています。
- ×エ リスク分析，リスク評価，リスク対応リスク分析、リスク評価、リスク対応の組合せは誤りです。リスク対応はアセスメントの結果を受けて行う次の段階で、アセスメントそのものには含まれません。また、出発点であるリスク特定が抜けています。
補足
「リスク評価」と「リスクアセスメント」は名前が似ていますが、同じ意味ではありません。リスク評価は、リスクアセスメントを構成する一つのプロセスです。アセスメントは特定から評価までをまとめて指す言葉だと整理しておくと、混同せずに済みます。
POINT
- リスクアセスメントは、リスク特定、リスク分析、リスク評価の三つのプロセスで構成されます。
- リスク分析では、発生可能性や影響の程度などからリスクの性質と規模を把握します。
- リスク評価では、分析結果をリスク基準に照らして、対応が必要かどうかや優先順位を判断します。
- リスク対応やリスク受容は、アセスメントの結果を受けて行うもので、アセスメントには含まれません。