平成30年度 秋期 ITパスポート 問68

正解 イ

リスクアセスメントは、資産に対するリスクを特定・分析・評価し、対応が必要かを判断する一連の活動です。

JIS Q 27000などでは、リスクアセスメントをリスク特定、リスク分析、リスク評価のプロセス全体と定義しています。識別された資産のリスクを分析します。そのうえでリスク基準と比べて、対応が必要かどうかを判断します。「分析、評価」「基準に照らして」が決め手になります。評価の後に行う、低減や移転などの対応はリスク対応と呼び、リスクアセスメントとは区別します。

ア：ウイルスの駆除は、感染が起きた後に行うインシデント対応の作業です。リスクを分析・評価する活動ではありません。

ウ：利用者認証は、登録済みの情報を使って利用者が本人であることを確認する仕組みです。

エ：費用対効果の算出は、システム投資を評価するための作業です。資産のリスクを評価する活動ではありません。

出典：平成30年度 秋期 ITパスポート試験 問68