JIS Q 31000:2019(リスクマネジメント-指針)におけるリスクマネジメントプロセスに関する記述のうち,適切なものはどれか。
情報セキュリティ管理
ア リスク対応の意義は,プロセスの設計,実施及び結末の質及び効果を保証し,改善することである。
なぜ違う: これはモニタリング及びレビューに近い説明である。リスク対応は,対応の選択肢を選定して実施する活動である。
イ リスク特定の意義は,リスクに対処するための選択肢を選定し,実施することである。
なぜ違う: 選択肢の選定と実施はリスク対応である。リスク特定は,目的を助け又は妨げるリスクを発見し,認識し,記述する活動である。
ウ リスク評価の意義は,組織の目的の達成を助ける又は妨害する可能性のあるリスクを発見し,認識し,記述することである。
なぜ違う: これはリスク特定の説明である。リスク評価では,分析結果をリスク基準と比較して追加対応の要否などを判断する。
エ リスク分析の意義は,必要に応じてリスクのレベルを含め,リスクの性質及び特徴を理解することである。
正解: エ
リスク分析では,特定したリスクについて原因,結果,起こりやすさなどを検討し,必要に応じてリスクレベルを算定する。分析結果は,その後のリスク評価とリスク対応の判断材料になる。
出典:令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題 問1