平成30年度 秋期 ITパスポート 問68（テクノロジ）

【リスクアセスメントとは】

情報セキュリティのリスクアセスメントは、次の3つのプロセスから成ります。

・リスク特定：守るべき情報資産について、どのようなリスクがあるかを洗い出す

・リスク分析：リスクの起こりやすさと影響の大きさから、リスクのレベルを決める

・リスク評価：リスクのレベルをあらかじめ定めた基準と比べ、対応が必要かどうかを判断し、優先順位を付ける

【選択肢の検討】

ア：侵入したウイルスを駆除するのは、インシデントへの対応で、リスクアセスメントではありません。

イ：識別された資産のリスクを分析、評価し、基準に照らして対応が必要かを判断するので、リスクアセスメントの説明です。

ウ：利用者が本人であることを確認するのは、認証の説明です。

エ：システムの導入に際して費用対効果を算出するのは、投資の評価で、リスクアセスメントではありません。

よって、正解は選択肢イです。