平成30年度 秋期 問99
リスク評価で行うこと
出典: 平成30年度 秋期 ITパスポート試験 公開問題 問99 (IPA)
ISMS における情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。
a あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。
b 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。
c リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。
- ア a
- イ a，b
- ウ b
- エ c
正解と解説を見る
正解: ア
- ア: 定めた基準でリスクの優先順位を付けるのは評価なので、正しい答えです。
- イ: b は、リスクの特定で行うことです。
- ウ: b は、リスクの特定で行うことです。
- エ: c は、評価の基準を定める準備で、評価そのものではありません。
ポイント
リスクアセスメントは 3 つの段階です。
- 特定: リスクを洗い出す
- 分析: リスクの大きさ (起こりやすさと影響) を調べる
- 評価: 分析したリスクを基準と比べ、優先順位を付けたり、対応するかを判断する
a: 基準によって優先順位を付ける → 評価
b: リスクを洗い出す → 特定
c: 対応するかを判断する基準を定める → 評価の前に決めておく準備
評価で行うのは a だけです。
この問題の用語: リスク評価
広告
「セキュリティ」をこのサイトで解く (記録・間違えた問題の解き直し・AI教師への質問)
広告