ITパスポート試験 - 令和4年 - 問86

答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
リスクアセスメントは，情報セキュリティにおけるリスクを管理するための重要なプロセスです。一般的に次の3つのプロセスを順番に実施します。

① リスク特定：潜在的なリスクを識別し，どの情報資産が脅威にさらされる可能性があるかを明確にします。
② リスク分析：特定されたリスクの発生確率や影響度を分析し，リスクのレベルを評価します。
③ リスク評価：分析結果に基づいてリスクが許容可能かどうかを判断し，必要な対策を決定します。

「ア」… 正解。リスク分析の段階では，各リスクのレベル（例えば，影響度や発生確率）を決定し，それを受容基準と比較する必要があります。受容基準は，リスクがどの程度まで受け入れ可能かを示す基準です。

「イ」… 不適切。リスク分析の対象はすべての情報資産に対して行う必要はありません。リスク分析は，特に重要な情報資産や，リスクが大きいと思われる資産に対して実施することが一般的です。

「ウ」… 不適切。特定したリスクについて同じ分析技法を用いることは必須ではありません。リスク分析には，定性的手法や定量的手法があり，リスクの種類や状況に応じて適切な分析技法を選択することが重要です。

「エ」… 不適切。「リスクが受容可能かどうかを決定する」ことは，リスク評価の段階で行うことであり，リスク分析の段階ではリスクのレベルを決定し，その後，リスク評価で受容可能かどうかを判断します。