令和3年度 ITパスポート 問88（テクノロジ）

【リスクアセスメントの手順】

ISMSのリスクアセスメントは、次の3つのプロセスの順で行います。

・リスク特定：どのような情報資産に、どのようなリスク（脅威や脆弱性）があるかを洗い出す

・リスク分析：特定したリスクについて、起きる可能性と影響の大きさから、リスクのレベルを決める

・リスク評価：リスクのレベルを受容の基準と比べて、対応が必要かを判断し、優先順位を付ける

リスクアセスメントの結果を受けて、リスクにどう対応するかを決めるのが、リスク対応です。

【選択肢の検討】

ア：リスク対応は、リスクアセスメントが終わった後に行うもので、リスクアセスメントには含まれません。

イ：リスク特定は、リスクアセスメントで最初に行うものです。

ウ：リスク評価は、リスクアセスメントの最後に行うものです。

エ：リスク分析は、リスク特定の後に行うものです。

よって、正解は選択肢イです。