ISMSにおける情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。 b 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。 c リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。
- アa
- イa, b
- ウb
- エc
正解と解説を見る
正解
ア a
ISMSにおけるリスクアセスメントは、リスクの特定・分析・評価という手順で行われる。このうち「評価」の段階では、あらかじめ定めた基準に基づき、分析済みのリスクに優先順位を付ける作業を行うため、aが評価に該当する。bは保護すべき情報資産に存在するリスクを洗い出す作業であり、これは「特定」の段階に含まれる。cは対応の要否を判断するための基準を定める作業であり、評価そのものではなくリスク対応の枠組みを整備する作業に位置づけられる。したがって、リスクの評価に該当するのはaのみであり、正解は「a」である。