情報セキュリティにおけるリスクアセスメントの説明として、適切なものはどれか。

選択肢

• アPCやサーバに侵入したウイルスを、感染拡大のリスクを抑えながら駆除する。
• イ識別された資産に対するリスクを分析、評価し、基準に照らして対応が必要かどうかを判断する。
• ウ事前に登録された情報を使って、システムの利用者が本人であることを確認する。
• エ情報システムの導入に際し、費用対効果を算出する。

正解と解説

正解：イ 識別された資産に対するリスクを分析、評価し、基準に照らして対応が必要かどうかを判断する。

リスクアセスメントは、守るべき資産に対するリスクを洗い出して分析し、あらかじめ定めた基準と照らして受容できるか対応が必要かを判断する一連の手続である。ここで対応が必要と判断されたリスクに対し、次の段階で低減・回避・移転・受容といった処置を選ぶ。実際の対処や本人確認、投資判断とは別の活動である。

選択肢ごとの解説

• ア実際の駆除作業であり、リスク対応の実施に当たる。
• イリスクを分析・評価して対応要否を判断する手続であり、これが正解。
• ウ利用者の本人確認を行う認証の説明。
• エ投資判断のための効果算定であり、リスク評価とは目的が異なる。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70