平成30年度 秋期 ITパスポート 問99（テクノロジ）
出典：平成30年度 秋期 ITパスポート試験 公開問題 問99（独立行政法人情報処理推進機構（IPA））
ISMSにおける情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。
a あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。
b 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。
c リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。
- アa
- イa，b
- ウb
- エc
正解と解説を見る
正解：ア
【リスクアセスメントの3つのプロセス】
ISMSの情報セキュリティリスクアセスメントは、次の3つのプロセスから成ります。
・リスク特定：保護すべき情報資産について、どのようなリスクがあるかを洗い出す
・リスク分析：リスクの起こりやすさと影響の大きさから、リスクのレベルを決める
・リスク評価：分析したリスクのレベルを、あらかじめ定めた基準と比べ、対応の要否を判断して優先順位を付ける
なお、リスクを受け入れるかどうかを判断するための基準（リスク受容基準など）は、リスクアセスメントを始める前に、あらかじめ定めておくものです。
【a〜cの検討】
a：あらかじめ定めた基準によって、分析したリスクの優先順位付けを行うのは、リスク評価で行うことです。
b：情報資産の取扱いに存在するリスクを洗い出すのは、リスク特定で行うことです。
c：対応を実施するかどうかを判断するための基準は、リスクアセスメントの前に定めておくもので、リスク評価で行うことではありません。
リスク評価で行うのはaだけです。よって、正解は選択肢アです。