令和4年度 ITパスポート 問86（テクノロジ）

【リスクアセスメントの3つのプロセス】

・リスク特定：どのような情報資産に、どのようなリスク（脅威や脆弱性）があるかを洗い出す

・リスク分析：特定したリスクについて、起きる可能性と起きたときの影響の大きさなどから、リスクのレベル（大きさ）を決める

・リスク評価：分析で決めたリスクのレベルを、あらかじめ定めたリスクの受容基準と比べ、リスクを受け入れられるか、対応が必要かを決め、対応の優先順位を付ける

【選択肢の検討】

ア：受容基準と比較できるように、各リスクのレベルを決定するので、リスク分析に関する記述として適切です。

イ：分析の対象は、特定したリスクで、組織が決めた範囲の情報資産です。全ての情報資産を対象にしなければならないわけではありません。

ウ：リスクの性質に合わせて、定性的な方法や定量的な方法など、異なる分析の技法を使うことができます。

エ：リスクを受け入れられるかどうかを決定するのは、リスク評価のプロセスです。

よって、正解は選択肢アです。