情報セキュリティにおけるリスクアセスメントを，リスク特定，リスク分析，リスク評価の三つのプロセスに分けたとき，リスク分析に関する記述として，最も適切なものはどれか。

選択肢

• ア受容基準と比較できるように，各リスクのレベルを決定する必要がある。
• イ全ての情報資産を分析の対象にする必要がある。
• ウ特定した全てのリスクについて，同じ分析技法を用いる必要がある。
• エリスクが受容可能かどうかを決定する必要がある。

正解と解説

正解：ア 受容基準と比較できるように，各リスクのレベルを決定する必要がある。

リスクアセスメントは、リスクを洗い出す「特定」、その大きさを見積もる「分析」、受容できるかを判断する「評価」の順に進みます。分析はリスクレベルを決める段階で、受容基準と照らし合わせられる形にすることが目的です。

選択肢ごとの解説

• ア正しい。分析は各リスクのレベルを算定する段階。
• イ重要度に応じて対象を絞ることもあり、全資産が必須ではない。
• ウリスクの性質に応じて定量的・定性的など技法を使い分けてよい。
• エ受容可能かの判断はリスク評価の役割。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70