基本情報技術者 一問一答｜A 第173問

解説

リスクアセスメントは、①リスク特定（組織にどのようなリスクが存在するかを洗い出す）②リスク分析（各リスクの発生可能性と影響度を見積もる）③リスク評価（分析結果をリスク基準と比較して対応の優先度を決める）という3段階の手順で行う。この「特定→分析→評価」の順序が正解の根拠である。誤答の回避・移転・受容は、アセスメント完了後に行う「リスク対応」の選択肢であって、アセスメントの手順そのものではない点に注意する。基本情報では3段階の並べ替えや、アセスメントとリスク対応の境界を問う出題が頻出であり、ISMS（ISO/IEC 27001）のリスクマネジメントプロセスの中核として理解しておくこと。