ITパスポート試験 令和3年度 公開問題 問91

【正解】イ

リスクアセスメントは、リスク特定、リスク分析、リスク評価という三つの作業から成ります。bの「リスクとなる要因を特定する」はリスク特定、aの「脅威や脆弱性などを使ってリスクレベルを決定する」はリスク分析に該当します。また、dの「対応する優先順位を決定する」は、分析結果を基準と照合し、どのリスクを優先すべきか判断するリスク評価に該当します。したがって、a、b、dを挙げたイが正解です。

アのa、bだけでは、リスク評価に当たるdが含まれていないため誤りです。リスクアセスメントは、リスクを見付けて大きさを分析するだけでなく、その重要度や優先順位を評価するところまで含みます。

ウのa、c、dは、リスク特定に当たるbがなく、リスク対応に当たるcを含むため誤りです。cは、回避、低減、移転、保有など、評価後に実施する対応方法を決める作業です。

エのc、dは、リスク分析に当たるaとリスク特定に当たるbがないため誤りです。また、cはリスクアセスメントではなく、その後のリスク対応に含まれます。

【ポイント】 リスクアセスメントの順序は、「特定→分析→評価」です。 その後にリスク対応を行い、対応結果を監視しながら継続的に見直します。 「評価」と「対応」を区別することが、この問題の重要点です。