情報セキュリティにおけるリスクアセスメントを,リスク特定,リスク分析,リスク評価の三つのプロセスに分けたとき,リスク分析に関する記述として,最も適切なものはどれか。
- ア受容基準と比較できるように,各リスクのレベルを決定する必要がある。
- イ全ての情報資産を分析の対象にする必要がある。
- ウ特定した全てのリスクについて,同じ分析技法を用いる必要がある。
- エリスクが受容可能かどうかを決定する必要がある。
正解と解説を見る
正解
ア 受容基準と比較できるように,各リスクのレベルを決定する必要がある。
リスク分析は，特定されたリスクの発生可能性や影響の大きさを評価し，リスクのレベル（大きさ）を決定するプロセスであり，そのレベルを後続のリスク評価で受容基準と比較できるようにする役割を持つ。全資産を対象にする必要や，全リスクに同一の分析技法を用いる必要，受容可否の決定は，それぞれリスク特定やリスク評価の段階の内容であり，リスク分析そのものの説明としては適切でない。