情報セキュリティマネジメント 2017年 春期 午前（科目A） 問06

リスクマネジメントのプロセス順序【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 用語の意味を短く確認する
   • 特定＝洗い出し、分析＝深掘り、評価＝優先付け、対応＝対策実行。
2. 「できるだけ順序が自然か」を考える
   • 見つける→調べる→順位付け→対策、が自然な流れかを確認する。
3. 選択肢を当てはめて確認する
   • 例えば評価が最初に来る選択肢は「評価する材料（特定・分析）が無い」ので除外。
4. 最短で答えを決める（試験では時間配分を意識）

選択肢別の誤答解説

• ア: リスク特定→リスク対応→リスク分析→リスク評価
  → 誤り。対応（対策実行）を分析と評価の前に行っています。対策の優先順位や内容は分析・評価の結果で決めるため、この順序は不合理です。
• イ: リスク特定→リスク分析→リスク評価→リスク対応
  → 正しい。まず洗い出して、詳細に調べ、優先度を決めてから対策を実行するという論理的な順序です。
• ウ: リスク評価→リスク特定→リスク分析→リスク対応
  → 誤り。評価（優先付け）を最初に行っていますが、評価には分析結果が必要です。材料なしに優先順位は決められません。
• エ: リスク評価→リスク分析→リスク特定→リスク対応
  → 誤り。特定が最後に来ています。特定なしに分析や評価は成立しません。

よくある誤解

• リスク「分析」と「評価」を混同する
  → 分析はデータを出す作業（発生確率や影響度を算出）。評価はそのデータを組織基準（許容度）に照らして「重要かどうか」を判断する作業です。
• 「対応」は最初に考えてよいと思い込む
  → 組織の限られた資源で効率よく対策をするには、何が重要かの判断（評価）が必要です。思いつきで対応すると非効率です。

補足コラム

• 定期的にリスク特定の会議を開く（担当者が現場を見て洗い出す）
• 簡易なヒートマップ（縦に影響度、横に発生確率）で視覚化して分析結果を示す
• 経営陣や関係部門と評価基準（例えば「受容できる年間損失額」や「法令違反のリスクは最優先」）を合意して優先度を決定する
• 優先度に応じて対応計画を作り、実行後は効果測定と見直しを行う（PDCA）

FAQ