平成30年度 秋期 （特別措置試験） 問68

✓ これが正解イ識別された資産に対するリスクを分析，評価し，基準に照らして対応が必要かどうかを判断する。

解説

危険を洗い出して測り、対応が必要かを基準に照らして決めます。

リスクアセスメントは、三つの段からできています。まず、どんな危険があるかを挙げるリスク特定。次に、起こりやすさと影響の大きさを見るリスク分析。最後に、あらかじめ決めた基準と照らして、受け入れるか手を打つかを決めるリスク評価です。三つとも測って判断する段で、手を打つ段はこの後に来ます。そこはリスク対応と呼ばれ、別の活動として分けられています。分けるのは、測らずに手を打つと、小さい危険に大きな費用をかけてしまうからです。アセスメントという言葉は、測って値踏みするという意味です。だから、この段で出てくるのは数と判断だけで、機器を入れたり手順を作ったりはしません。測った結果は表にまとめ、どれから手を付けるかの順番になります。識別された資産に対するリスクを分析し評価する、という肢がこれにあたります。

ほかの選択肢はなぜ違うのか

• アPCやサーバに侵入したウイルスを，感染拡…：侵入したウイルスを、広がりを抑えながら駆除するという肢です。これは実際に手を打っている場面なので、リスク対応にあたります。測る段ではありません。駆除の手順を選ぶ前に、測る段を通っています。リスクの語が入るので紛れます。
• ウ事前に登録された情報を使って，システムの…：登録された情報を使って本人かどうかを確かめるという肢です。これは利用者認証の説明になります。入口で人を確かめる仕組みで、危険を測る作業とは別です。パスワードや指紋、カードなどが使われます。対策の一つにあたります。
• エ情報システムの導入に際し，費用対効果を算…：導入にあたって費用対効果を出すという肢です。投資が見合うかを見る作業で、扱っているのはお金です。情報を守る話ですらありません。四つの中で最も遠い肢です。効果を金額で表す点が、危険の大きさと違います。言葉の重なりもありません。