ISMSにおける情報セキュリティリスクの取扱いに関する"リスク及び機会に対処する活動"には、リスク対応、リスク評価、リスク分析が含まれる。この活動の流れとして、適切なものはどれか。

選択肢

• アリスク対応 → リスク評価 → リスク分析
• イリスク評価 → リスク分析 → リスク対応
• ウリスク分析 → リスク対応 → リスク評価
• エリスク分析 → リスク評価 → リスク対応

正解と解説

正解：エ リスク分析 → リスク評価 → リスク対応

リスクへの対処は、まずリスクの発生確率や影響の大きさを見積もるリスク分析を行い、次にその結果を受入基準と照らして対応が必要かどうかを判断するリスク評価を行う。そのうえで、低減・回避・移転・受容といったリスク対応を選んで実施する。分析→評価→対応の順が正しい流れである。

選択肢ごとの解説

• ア対応を最初に行うことはできず、順序が逆になっている。
• イ評価の前に分析が必要であり、順序が入れ替わっている。
• ウ評価を経ずに対応を決める流れになっており不適切である。
• エ正解。分析で見積もり、評価で判断し、対応を実施する順序。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70