JIS Q 27000:2019(情報セキュリティマネジメントシステム-用語)における用語の定義として、適切なものはどれか。

選択肢

• アトップマネジメントとは、リスクを運用管理することについて、アカウンタビリティ及び権限をもつ人又は主体のことである。
• イリスクアセスメントとは、リスクを修正するプロセスのことであり、リスクを生じさせる活動を開始又は継続しないと決定することによって、リスクを回避することを含む。
• ウリスク評価とは、リスク及び/又はその大きさが受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセスのことである。
• エリスク分析とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

正解と解説

正解：ウ リスク評価とは、リスク及び/又はその大きさが受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセスのことである。

JIS Q 27000におけるリスク評価は、リスク分析の結果をあらかじめ定めたリスク基準と比較し、そのリスクや大きさが受容可能かどうかを決定するプロセスである。リスクアセスメントはリスク特定・リスク分析・リスク評価を包含する上位の概念で、リスク分析はリスクの特質を理解しレベルを決定する段階を指す。用語の階層関係を整理して覚えることが要点である。

選択肢ごとの解説

• アリスクを運用管理するアカウンタビリティと権限をもつ人はリスク所有者であり、トップマネジメントの定義ではない。
• イリスクを修正するプロセスで回避を含むのはリスク対応の定義であり、リスクアセスメントではない。
• ウ正しい。リスク分析の結果をリスク基準と比較して受容可否を決めるのがリスク評価である。
• エリスクを発見・認識・記述するプロセスはリスク特定の定義である。

同じ分野の他の問題

• JIS Q 0073:2010(リスクマネジメント−用語)におけるリスクマトリックスの定義はどれか。2025年度 春期 午前II 問16
• システム監査基準(平成30年)に基づくシステム監査において、リスクの評価に基づく監査計画の策定(リスクアプローチ)で考慮…2019年度 秋期 午前II 問16
• 労働基準法で定める制度のうち、いわゆる36協定と呼ばれる労使協定に関する制度はどれか。2025年度 春期 午前II 問25
• Webサーバでのシングルサインオンの実装方式に関する記述のうち、適切なものはどれか。2025年度 春期 午前II 問15
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”によれば、“記録した取引に漏れ、重複がないこと…2025年度 春期 午前II 問14