ITパスポート 2017年 秋期 問57

ISMSにおける情報セキュリティリスクの取扱いに関する“リスク及び機会に対処する活動”の流れ【ITパスポート 解説】

正解の理由

• リスク分析（リスク分析）：リスクの原因・発生確率・影響を具体的に調べる段階
• リスク評価（リスク評価）：分析結果を基に「許容できるか／優先的に対処すべきか」を判断する段階
• リスク対応（リスク対応）：受容・回避・軽減・移転などの対策を選び実行する段階

解法ステップ

1. 用語を確認する
   • リスク分析、リスク評価、リスク対応の意味を一言で押さえます（上記参照）。
2. 順序の論理を考える
   • 「対処（対応）」する前に、まず何が起きるかを調べ（分析）、重要度を判断（評価）する必要がある、と考えます。
3. 各選択肢と照らし合わせる
   • 「分析→評価→対応」の順になっている選択肢を選びます（エ）。

選択肢別の誤答解説

• ア: リスク対応 → リスク評価 → リスク分析
  • 誤り。対策（対応）を先に行うことは現実的ではありません。原因や重要度を調べずに対応を選ぶと、無駄な対策や不足する対策が発生します。
• イ: リスク評価 → リスク分析 → リスク対応
  • 誤り。評価（優先度付け）をするには、まず分析（発生確率や影響の見積もり）が要ります。分析なしに評価はできません。
• ウ: リスク分析 → リスク対応 → リスク評価
  • 誤り。分析の後すぐに対応するのは一見合理的ですが、対応の前に「本当にそのリスクを処理する必要があるか（受容できるかどうか）」を評価するべきです。評価を飛ばすと過剰対策や優先度の誤りが起きます。
• エ: リスク分析 → リスク評価 → リスク対応
  • 正解。まず分析して事実を把握し、その重要度を評価して優先順位を決めてから対応（対策選択と実施）します。

よくある誤解

1. 「リスク評価」と「リスク分析」は同じだと思う
   • 似ていますが役割が違います。分析は事実の把握（発生確率や影響の見積もり）、評価はその結果に基づく判断（許容できるか、優先度）です。順序が逆になると実務で混乱します。
2. 「対応＝すぐ対策を実行する」と考える
   • 対応には「受容（そのままにする）」や「移転（保険など）」など選択肢があり、必ずしもすぐに技術的な対策を導入することではありません。評価で決めてから実施します。

補足コラム

• ISOの用語だと、一般に「リスクアセスメント（risk assessment）」はリスクの同定（identification）、分析（analysis）、評価（evaluation）を含むプロセスです。今回の設問はその中の「分析」「評価」「対応（treatment）」の並びを問うものです。
• 実務ではこのサイクルは一度きりではありません。新たな脅威や環境変化に応じて、PDCA（Plan-Do-Check-Act）のように継続的に回すことが重要です。PDCAは計画・実行・確認・改善の流れです。

1. 分析：どのデータが漏えいすると問題か（顧客情報、取引履歴など）、どのくらいの確率で起きるかを調べる。
2. 評価：漏えいの影響が大きく、発生確率も無視できないため優先度が高いと判断する。
3. 対応：暗号化やアクセス制御の強化、外部委託先への契約上の義務化（移転）など適切な対策を選んで実行する。

FAQ