ITパスポート 2021年 問88

ISMSのリスクアセスメントにおいて、最初に行うものはどれか。【ITパスポート 解説】

正解の理由

1. リスク特定（何がリスクかを見つける）
2. リスク分析（そのリスクの発生可能性や影響を調べる）
3. リスク評価（許容できるかどうか判断し優先順位を付ける）
4. リスク対応（対応策を決めて実行する）

解法ステップ

1. 問題文で「最初に行うもの」を確認する。
2. リスクアセスメントの一般的な手順を思い出す。順番は「特定→分析→評価→対応」。
3. 選択肢を順番と照らし合わせる。
4. 最初に来るのは「リスク特定」なので、イ を選ぶ。

選択肢別の誤答解説

• ア: リスク対応
  • 誤り。対応（対策の実行）はプロセスの最後です。特定・分析・評価の後に行います。
• イ: リスク特定
  • 正解。まず何がリスクかを見つけることが出発点です。資産や脅威、脆弱性、影響をリストアップします。
• ウ: リスク評価
  • 誤り。評価は分析の結果を基に、許容できるか／優先度をどうするかを判断する段階で、特定・分析の後に行います。
• エ: リスク分析
  • 誤り。分析は「どのくらいの確率で起きるか」「起きたときの影響はどの程度か」を調べる作業で、特定の次の段階です。

よくある誤解

1. 分析と特定を同じと思う
   • 特定は「何があるかを洗い出す」行為です。分析はその洗い出したものについて「どれくらい起きやすいか・影響はどれくらいか」を調べる行為です。順序が逆転すると体系的な評価ができません。
2. 最初に対策（対応）を考えたくなる
   • 実務でも試験でも、原因やリスクの全体像を把握せずに対策を取ると無駄が多くなります。まず特定して優先順位をつけるのが重要です。
3. スコープやコンテキストを無視する
   • リスク特定の前に「どこまでを対象にするか（範囲）」を決める必要があります。設問で範囲に触れていない場合は、まず対象を明確にしてから特定を行うことを念頭に置くと良いです。

補足コラム

• ISOの考え方
  • ISO 27005（情報セキュリティリスクマネジメント）でも、手順は「Identify（特定）→Analyze（分析）→Evaluate（評価）→Treat（対応）」の順です。英語の順で覚えると「I A E T」の順になります。
• リスク対応の種類（参考）
  • 回避（Avoid）、軽減（Mitigate）、移転（Transfer、保険など）、受容（Accept）、これらは対応段階で検討します。最初に特定がないと、どれが適切か判断できません。
• 簡単な例（社内ファイルの例）
  1. 特定：重要ファイルが外部持ち出しされるリスク、パスワードの弱さなどを列挙。
  2. 分析：持ち出しの頻度（低・中・高）と影響（情報漏洩の範囲）を評価。
  3. 評価：許容できないリスクを決め、優先順位をつける。
  4. 対応：アクセス制限や暗号化、監視の導入を行う。

FAQ