重要度：A 論点：アセスメントの3段階
問11：リスクアセスメントは、リスク特定、リスク分析、リスク評価の順で進める。
解答を見る
○：リスクを洗い出し（特定）、発生可能性と影響の大きさを見積もり（分析）、リスク基準と比較して対応の要否を判断する（評価）という流れになる。
重要度：A 論点：リスク分析とリスク評価の区別
問12：リスク分析では、算定したリスクが組織の受容基準を満たすかを最終判断し、リスク評価では発生可能性と影響度を算定する。
解答を見る
×：発生可能性や影響度を用いてリスクの大きさを把握するのがリスク分析であり、その結果をリスク基準と比較して対応の必要性を判断するのがリスク評価である。
重要度：B 論点：リスク要因の4側面
問13：リスク要因の分析は、技術的な側面だけを対象にすれば十分である。
解答を見る
×：リスク要因は組織的・人的・物理的・技術的の4側面から分析する。規程の不備や手順の不徹底、保管環境といった技術以外の要因を見落とすと、対策が偏る。
重要度：B 論点：リスク源
問14：情報セキュリティ上のリスク源には、外部の攻撃者だけでなく、従業員の誤操作、設備故障、委託先の運用不備なども含まれ得る。
解答を見る
○：リスクを生じさせる要因は、悪意ある外部者に限られない。組織内部、人、設備、外部サービスなど、業務を取り巻く様々な要因を検討する必要がある。
重要度：B 論点：ベースラインアプローチ
問15：ベースラインアプローチでは、一定の対策基準（ベースライン）を定め、組織全体をその水準と比較して分析する。
解答を見る
○：少ない手間で標準的な水準を確保しやすい一方、個々のシステム固有のリスクは把握しにくいという特徴がある。
コメント