解説

リスクアセスメントは、情報セキュリティ管理において重要なプロセスです。その中でもリスク分析は、特定されたリスクの大きさや影響度を定量的・定性的に分析し、リスクレベルを決定するプロセスです。リスク分析の主な目的は、後続のリスク評価プロセスで各リスクが受容可能かどうかを判断できるように、リスクのレベルを明確にすることです。そのため、リスクを受容基準と比較できるような形でレベル分けすることが重要となります。

なぜ他の選択肢は違うのか

選択肢 イ

全ての情報資産を分析対象にする必要はありません。重要度や影響度に応じて、分析対象とする資産を適切に選択することが効率的なリスク管理につながります。

選択肢 ウ

リスクの性質や重要度によって、適切な分析技法を選択すべきです。全てのリスクに同じ分析技法を適用することは、効率的でなく、また適切な分析結果が得られない可能性があります。

選択肢 エ

リスクが受容可能かどうかの決定は、リスク評価プロセスで行われる作業であり、リスク分析の段階での作業ではありません。

解くときのポイント

リスクアセスメントの3つのプロセス（特定・分析・評価）の役割の違いを理解することが重要です。特に、リスク分析はリスクの「大きさを測る」プロセスであり、その受容判断（評価）とは区別して考えましょう。