情報セキュリティマネジメント試験 令和7年度 公開問題 問1

【正解】エ

リスク分析は、リスク特定によって洗い出された個々のリスクについて、その性質や特徴を詳しく理解する段階です。具体的には、リスクの原因、起こり得る結果、発生可能性、影響の大きさ、現在の管理策の有効性などを検討し、必要に応じてリスクレベルを算定します。したがって、リスクの性質及び特徴を理解するとしたエが適切です。

アの説明は誤りです。これは「監視及びレビュー」の説明です。リスクマネジメントプロセスの設計、実施及び結果の質や有効性を確認し、改善につなげます。

イの説明は誤りです。これは「リスク対応」の説明です。リスクを回避する、低減する、共有する、保有するなどの対応方法を選び、計画して実施します。

ウの説明は誤りです。これは「リスク特定」の説明です。組織の目的達成を助けたり妨げたりする可能性のあるリスクを発見し、認識して記述します。なお、「リスク評価」は狭い意味では、リスク分析の結果をリスク基準と比較し、追加の対応が必要かどうかなどを判断する段階です。

【ポイント】 リスクアセスメントは、「リスク特定」「リスク分析」「リスク評価」の三つから構成されます。 「特定で見つける、分析で理解する、評価で判断する、対応で処置する」という順序で整理すると覚えやすいです。