ホーム > 情報処理安全確保支援士試験 > 2011年 秋期
情報処理安全確保支援士試験 2011年 秋期 午前2 問25
ISMSにおけるリスク分析手法の一つである “詳細リスク分析” で行う作業はどれか。
ア：情報セキュリティポリシの作成
イ：セーフガードの選択
ウ：リスクの評価（正解）
エ：リスクの容認
解説
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）におけるリスク分析は、情報資産を脅威や脆弱性から守るために非常に重要なプロセスです。特に「詳細リスク分析」は、リスクの大きさや影響を具体的に評価し、適切な対応策を検討するためのステップとなっています。
詳細リスク分析とは
詳細リスク分析では、以下のような作業を行います。
- 脅威や脆弱性の特定に基づき、それらが発生した場合の影響度を数値化または定性的に評価する
- 発生する可能性（発生頻度）と影響の重さを組み合わせて、リスクの重大度を明確にする
- 各リスクの優先順位付けを行い、対策を検討するための基礎データを作成する
この段階で行うのは、「リスクの評価」です。リスクを評価することで、どのリスクを優先的に対処すべきかを決定できるようになります。
選択肢の整理
-
ア：情報セキュリティポリシーの作成
→ ポリシーは基本方針として策定されますが、リスク分析の直接的な作業ではありません。 -
イ：セーフガードの選択
→ セーフガード（対策）の選択はリスク評価の後に行う作業です。リスクの大きさを把握してから対策を決めます。 -
ウ：リスクの評価
→ 詳細リスク分析で行う本質的な作業です。リスクの大きさや影響を具体的に評価します。 -
エ：リスクの容認
→ リスクを受け入れるかどうかの判断は、リスク評価後、対策検討の過程で決定されます。
まとめ
詳細リスク分析では、リスクの具体的な大きさや影響を「評価」することが中心です。これにより、その後の対策（セーフガードの選択）やリスク容認の判断が可能になるため、リスクの評価は欠かせないステップです。
したがって、正解は ウ：リスクの評価 となります。