平成30年度 秋期 ITパスポート 問99

正解 ア

リスク評価では、分析したリスクをあらかじめ定めた基準と比べて、優先順位を付けます。

ISMS（Information Security Management System）のリスクアセスメントは、リスク特定、リスク分析、リスク評価の順に進みます。aは、分析済みのリスクを基準に照らして優先順位付けするもので、リスク評価にあたります。bは、情報資産にあるリスクを洗い出すもので、リスク特定にあたります。cは、対応するかどうかを判断する基準を定めるもので、リスクアセスメントより前に決めておくリスク基準の確立にあたります。

イ：bのリスクの洗い出しは、リスク特定で行うものです。

ウ：bのリスクの洗い出しは、リスク特定で行うものです。リスク評価で行うaが含まれていません。

エ：cの判断基準は、リスクアセスメントを始める前にあらかじめ定めておくものです。リスク評価はその基準を使って行います。

出典：平成30年度 秋期 ITパスポート試験 問99