令和1年度 秋期 ITパスポート 問56（テクノロジ）
出典：令和元年度 秋期 ITパスポート試験 公開問題 問56（独立行政法人情報処理推進機構（IPA））
次の作業a～dのうち，リスクマネジメントにおける，リスクアセスメントに含まれるものだけを全て挙げたものはどれか。
a リスク特定
b リスク分析
c リスク評価
d リスク対応
- アa，b
- イa，b，c
- ウb，c，d
- エc，d
正解と解説を見る
正解：イ
【リスクアセスメントとリスク対応】
リスクマネジメントのうち、リスクアセスメントは次の3つのプロセスから成ります。
・リスク特定：どのような情報資産に、どのようなリスクがあるかを洗い出す
・リスク分析：特定したリスクについて、起きる可能性と影響の大きさから、リスクのレベルを決める
・リスク評価：リスクのレベルを受容の基準と比べ、対応が必要かを判断して優先順位を付ける
その結果を受けて、リスクにどう対応するか（回避、低減、移転、保有など）を決めるのが、リスク対応です。リスク対応は、リスクアセスメントには含まれません。
【a〜dの検討】
a：リスク特定は、リスクアセスメントに含まれます。
b：リスク分析は、リスクアセスメントに含まれます。
c：リスク評価は、リスクアセスメントに含まれます。
d：リスク対応は、リスクアセスメントの結果を受けて行うもので、リスクアセスメントには含まれません。
リスクアセスメントに含まれるのはa、b、cです。よって、正解は選択肢イです。