リスクマネジメントプロセス｜情報セキュリティマネジメント 令和7年 公開問題 問1
出典：令和7年度 公開問題 科目A 問1
分野：セキュリティ ／ 情報セキュリティ管理
JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクマネジメントプロセスに関する記述のうち，適切なものはどれか。
- ア：リスク対応の意義は，プロセスの設計，実施及び結末の質及び効果を保証し，改善することである。
- イ：リスク特定の意義は，リスクに対処するための選択肢を選定し，実施することである。
- ウ：リスク評価の意義は，組織の目的の達成を助ける又は妨害する可能性のあるリスクを発見し，認識し，記述することである。
- エ：リスク分析の意義は，必要に応じてリスクのレベルを含め，リスクの性質及び特徴を理解することである。
TSUNAGARU-ADVICE
まず押さえたいこと
リスクマネジメントプロセスでは、リスク特定 → リスク分析 → リスク評価 → リスク対応という流れを区別することが重要です。リスク分析は、特定したリスクについて原因や結果、起こりやすさなどを検討し、必要に応じてリスクレベルを求めて、リスクの性質や特徴を理解する段階です。
迷ったときの判断軸
「発見し、認識し、記述する」はリスク特定、「性質や特徴を理解する」はリスク分析、「対応が必要かを判断する」はリスク評価、「対応策を選び実施する」はリスク対応と整理しましょう。各プロセスで何をするのかを動詞と結び付けると、似た説明を切り分けやすくなります。
科目Bにつなげるために
科目Bでは、事例から脅威や脆弱性を見つけるだけでなく、そのリスクの大きさを分析し、対応の優先順位や管理策を判断する流れが重要です。事例を読むときは、特定したリスクをすぐ対策に結び付けず、分析・評価を経て対応するという順序を意識しましょう。
JIS Q 31000:2019のリスクマネジメントプロセスでは、リスクアセスメントをリスク特定、リスク分析、リスク評価の順で進めます。この3つは似ていますが、それぞれ役割が異なります。
リスク分析は、特定されたリスクについて、その原因や結果、発生の可能性、影響などを検討し、リスクの性質や特徴を理解するための活動です。必要に応じてリスクのレベルも求めるため、エが適切です。
「リスクを見つける＝リスク特定」「リスクの中身や大きさを調べる＝リスク分析」「分析結果を基準と比較して対応の必要性を判断する＝リスク評価」と整理すると区別しやすくなります。
❌他選択肢が誤りの理由ア：リスク対応の意義は，プロセスの設計，実施及び結末の質及び効果を保証し，改善することである。
⇒監視及びレビューに関する説明です。リスク対応は、リスクに対処するための選択肢を選び、実施する活動を指します。
イ：リスク特定の意義は，リスクに対処するための選択肢を選定し，実施することである。
⇒リスク対応の説明です。リスク特定は、組織の目的達成を助けたり妨げたりする可能性のあるリスクを発見し、認識し、記述する活動です。
ウ：リスク評価の意義は，組織の目的の達成を助ける又は妨害する可能性のあるリスクを発見し，認識し，記述することである。
⇒リスク特定の説明です。リスク評価は、リスク分析の結果を基準と照らし合わせ、追加の対応が必要かなどを判断する活動です。