次の作業a〜dのうち、リスクマネジメントにおける、リスクアセスメントに含まれるものだけを全て挙げたものはどれか。 a 脅威や脆弱性などを使ってリスクレベルを決定する。 b リスクとなる要因を特定する。 c リスクに対してどのように対応するかを決定する。 d リスクについて対応する優先順位を決定する。

選択肢

• アa, b
• イa, b, d
• ウa, c, d
• エc, d

正解と解説

正解：イ a, b, d

リスクアセスメントは、リスク特定・リスク分析・リスク評価の三つからなる。リスクとなる要因を洗い出すのが特定（b）、脅威や脆弱性からリスクの大きさを見積もるのが分析（a）、その結果を基準と照らして対応の優先順位を決めるのが評価（d）である。どう対応するかを決める（c）のはアセスメントの後に行うリスク対応に当たる。

選択肢ごとの解説

• ア優先順位の決定（d）もリスク評価としてアセスメントに含まれる。
• イ正解。特定・分析・評価の三つが該当する。
• ウ対応方法の決定（c）はリスク対応であり、アセスメントには含まれない。
• エcはリスク対応であり、要因の特定や分析が漏れている。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70