解説

ISMSのリスクアセスメントは、組織の情報セキュリティリスクを体系的に管理するための重要なプロセスです。このプロセスは順序立てて実施する必要があり、最初のステップは「リスク特定」です。リスク特定では、組織にとってどのような脅威や脆弱性が存在するのか、どの資産が影響を受ける可能性があるのかを洗い出します。この段階を経てはじめて、分析や評価、対応の検討が可能となります。

なぜ他の選択肢は違うのか

選択肢 ア

リスク対応は、リスクの特定、分析、評価を経た後に行う最終段階です。どのようなリスクが存在するかも分からない状態で対応を決めることはできません。

選択肢 ウ

リスク評価は、リスクの特定と分析を行った後で、そのリスクの重要度を判断する段階です。何のリスクを評価するのかが特定できていない状態では評価できません。

選択肢 エ

リスク分析は、特定されたリスクについて、発生可能性や影響度を詳しく調べる段階です。分析対象となるリスクを特定する必要があるため、リスク特定の後に行います。

解くときのポイント

リスクマネジメントの順序は「特定→分析→評価→対応」と覚えましょう。まず何がリスクなのかを見つけ出し（特定）、それを詳しく調べて（分析）、重要度を判断し（評価）、最後に対策を講じる（対応）という流れです。