平成29年度 春期 ITパスポート 問63（テクノロジ）
出典：平成29年度 春期 ITパスポート試験 公開問題 問63（独立行政法人情報処理推進機構（IPA））
情報セキュリティのリスクマネジメントをリスク特定，リスク分析，リスク評価，リスク対応に分けたときに，リスク対応に含まれるものはどれか。
- ア組織に存在するリスクを洗い出す。
- イリスクの大きさとリスク受容基準を比較して，対策実施の必要性を判断する。
- ウリスクの発生確率と影響度から，リスクの大きさを算定する。
- エリスクへの対処方法を選択し，具体的な管理策の計画を立てる。
正解と解説を見る
正解：エ
【リスクマネジメントのプロセス】
・リスク特定：組織に存在するリスクを洗い出す
・リスク分析：リスクの発生確率と影響度から、リスクの大きさを算定する
・リスク評価：リスクの大きさをリスク受容基準と比べて、対策の必要性を判断し、優先順位を付ける
・リスク対応：リスクへの対処方法（低減、回避、移転、保有など）を選び、具体的な管理策の計画を立てて実施する
【選択肢の検討】
ア：組織に存在するリスクを洗い出すのは、リスク特定に含まれます。
イ：リスクの大きさとリスク受容基準を比べて、対策実施の必要性を判断するのは、リスク評価に含まれます。
ウ：発生確率と影響度から、リスクの大きさを算定するのは、リスク分析に含まれます。
エ：リスクへの対処方法を選び、具体的な管理策の計画を立てるのは、リスク対応に含まれます。
よって、正解は選択肢エです。