ITパスポート 2018年 秋期 問99

ISMSのリスクアセスメントで「リスクの評価」が行うことはどれか【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：今回は「リスクの評価」で行うもの、という点に注目。
2. リスクアセスメントの3工程を頭に入れる：
   • リスクの特定（洗い出し） → どんなリスクがあるかを見つける
   • リスクの分析 → 発生可能性や影響を見積もる
   • リスクの評価 → 分析結果を基準と比較して優先順位を付ける
3. 各選択肢がどの工程に当たるか対応付ける：
   • 「洗い出す」は特定、「優先順位付け」は評価、「対応を実施するかの基準を定める」は評価ではなく別工程（リスク対応や受容に関わる）と判断する。
4. 評価で行うものだけを含む選択肢を選ぶ。

選択肢別の誤答解説

• ア（a）
  • a：「あらかじめ定めた基準によって、分析したリスクの優先順位付けを行う。」
    → これはまさに「リスクの評価」の仕事です。分析で出たリスクの大きさを基準と比べて優先順位を決めます。正解を含む選択肢です。
• イ（a, b）
  • b：「保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。」
    → これは「リスクの特定（識別）」に該当します。評価の段階ではなく、前段階の工程なので「評価で行うものだけ」には当たりません。したがってイは誤りです。
• ウ（b）
  • bは上記の通り「特定」。ウは b のみなので「評価で行うこと」が含まれておらず誤りです。
• エ（c）
  • c：「リスクが顕在化したときに、対応を実施するかどうかを判断するための基準を定める。」
    → これはリスク対応（リスクが実際に発生したときの対応方針）や受容基準の設定に近い内容です。評価で「分析結果を比較して優先順位を付ける」こととは異なります。よってエは誤りです。

よくある誤解

1. 「基準を定める＝評価」だと思い込みがち
   • 「基準を定める」行為自体はリスクマネジメントの文脈で評価に関係しますが、問題文の c は「リスクが顕在化したときに対応するかを判断するための基準」を指しており、評価（リスクを比較・優先付けする）とは目的が異なります。前者は対応方針（リスク対応）寄りです。
2. 「洗い出す」＝評価に含めてしまう誤り
   • リスクの特定（洗い出し）は評価の前段階。評価は洗い出しと分析の結果を用いて行う工程です。

補足コラム

• ISO（国際標準）系の文献では、リスク評価は「分析したリスクをリスク基準に照らしてリスクの重要性を判断し、優先順位を付ける」作業と定義されています。評価の結果は「リスク登録簿（リスクレジスター）」などに記録され、リスク対応（対策実施や受容の判断）へ引き継がれます。
• 簡単なイメージ式：
  • リスクの大きさ（評価指標） = 発生可能性 × 影響
    • 数式で表すと $リスク=発生可能性\times 影響$（簡易モデル）。これを基準と比較して「高リスクか低リスクか」「どれを先に対応するか」を決めるのが評価です。

FAQ