個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第16問: リスクアセスメントの一般的な手順として、最も適切なものはどれか。

正解: 4. リスクの特定 → リスクの分析 → リスクの評価

リスクアセスメントは一般に、リスクの特定（どのようなリスクが存在するかを洗い出す）、リスクの分析（発生可能性と影響度からリスクの大きさを算定する）、リスクの評価（算定した大きさを基準と比較して対応の優先順位を決める）の順で行われます。その後にリスク対応（低減・回避・移転・受容）を選択します。ガイドライン別添も、取り扱う個人データの性質や量に起因するリスクに応じて必要かつ適切な内容とすべきとしており、リスクベースの考え方を採っています。

根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: リスクアセスメント・リスクの特定・分析・評価・リスク対応