ITパスポート試験 テクノロジ系 練習問題 第121問: 情報セキュリティのリスクアセスメントで、リスク評価に当たる活動はどれか。

正解: 4. 決めたリスクの大きさを、あらかじめ定めた基準と比べ、リスクへの対応の優先順位を付ける

経済産業省の「情報セキュリティ管理基準」（令和7年改正版）は、リスクアセスメントをリスク特定、リスク分析及びリスク評価のプロセス全体としている。リスク分析では、起こり得る結果と発生頻度を分析してリスクレベルを決め、リスク評価では、そのリスクレベルをリスク基準と比べて、リスク対応の優先順位を付ける。よって4がリスク評価に当たる。1の脅威と脆弱性の洗い出しはリスク特定、2のリスクの大きさを決めることはリスク分析であり、評価という語から2を選ぶのは誤り。3の回避・共有・保有などの方法を選ぶことは、リスクアセスメントの後に行うリスク対応である。

関連キーワード: リスクアセスメント・リスク評価・リスク分析・リスク特定・リスク対応