ISMSにおける情報セキュリティリスクアセスメントでは、リスクの特定、分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a あらかじめ定めた基準によって、分析したリスクの優先順位付けを行う。 b 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。 c リスクが顕在化したときに、対応を実施するかどうかを判断するための基準を定める。

選択肢

• アa
• イa, b
• ウb
• エc

正解と解説

正解：ア a

リスクアセスメントは特定・分析・評価の三段階からなり、このうち評価は、分析結果をあらかじめ定めたリスク基準と照らして、対応の要否や優先順位を決める段階である。リスクを洗い出すbは特定の段階、判断の物差しとなる基準を定めるcはアセスメントに先立つリスク基準の確立にあたるため、評価に該当するのはaだけとなる。

選択肢ごとの解説

• ア分析したリスクを基準と照らして優先順位を付けるのは、まさに評価の作業。
• イbのリスクの洗い出しは特定の段階なので、含めるのは誤り。
• ウbは特定の段階であり、評価ではない。
• エcの基準の策定はアセスメントを行う前提として定めるもので、評価そのものではない。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70