令和3年度 ITパスポート 問91（テクノロジ）
出典：令和3年度 ITパスポート試験 公開問題 問91（独立行政法人情報処理推進機構（IPA））
次の作業a～dのうち，リスクマネジメントにおける，リスクアセスメントに含まれるものだけを全て挙げたものはどれか。
a 脅威や脆弱性などを使ってリスクレベルを決定する。
b リスクとなる要因を特定する。
c リスクに対してどのように対応するかを決定する。
d リスクについて対応する優先順位を決定する。
- アa，b
- イa，b，d
- ウa，c，d
- エc，d
正解と解説を見る
正解：イ
【リスクアセスメントとリスク対応】
リスクマネジメントのうち、リスクアセスメントは次の3つのプロセスから成ります。
・リスク特定：リスクとなる要因を洗い出す
・リスク分析：脅威や脆弱性などから、リスクのレベル（大きさ）を決める
・リスク評価：リスクのレベルを受容の基準と比べて、対応の要否と優先順位を決める
その結果を受けて、リスクにどう対応するか（回避、低減、移転、保有など）を決めるのが、リスク対応です。リスク対応は、リスクアセスメントには含まれません。
【a〜dの検討】
a：脅威や脆弱性などを使ってリスクのレベルを決定するのは、リスク分析で、リスクアセスメントに含まれます。
b：リスクとなる要因を特定するのは、リスク特定で、リスクアセスメントに含まれます。
c：リスクにどのように対応するかを決定するのは、リスク対応で、リスクアセスメントには含まれません。
d：リスクに対応する優先順位を決定するのは、リスク評価で、リスクアセスメントに含まれます。
リスクアセスメントに含まれるのはa、b、dです。よって、正解は選択肢イです。