平成29年度 秋期 ITパスポート 問57

正解 エ

ISMSのリスク対処は、リスク分析でリスクの大きさを求め、リスク評価で基準と比べて優先順位を決め、最後にリスク対応を行います。

ISMS（Information Security Management System）では、リスク特定、リスク分析、リスク評価をまとめてリスクアセスメントと呼びます。リスク分析では、特定したリスクの起こりやすさと影響の大きさから、リスクレベルを求めます。リスク評価では、分析の結果をリスク基準と比べ、対応するかどうかと優先順位を決めます。リスク対応では、評価の結果をもとに、低減・回避・移転・保有などの方法を選んで実施します。そのため、流れはリスク分析、リスク評価、リスク対応の順です。

ア：順序が逆です。リスク対応は、分析と評価の結果をもとに行う最後の段階です。

イ：リスク評価は、リスク分析で求めたリスクレベルを基準と比べる段階です。分析より先には行えません。

ウ：リスク対応は、リスク評価で対応の要否と優先順位を決めてから行います。評価より先には行いません。

出典：平成29年度 秋期 ITパスポート試験 問57