ITパスポート 予想問題｜練習問題 第52問

解説

ISMS（ISO/IEC 27001）におけるリスクアセスメントは、リスクの特定（どのような脅威・脆弱性があるかを洗い出す）、リスクの分析（発生可能性と影響度からリスクの大きさを算定する）、リスクの評価（受容可能かを判断し対応の優先順位を決める）の3プロセスで構成される。よってアが正解である。イのインシデント対応手順の策定やウの従業員教育、エのセキュリティ製品の導入は、いずれもアセスメントの結果を踏まえて実施する「リスク対応」や管理策の段階に当たる。「特定→分析→評価」の3ステップの順序と、その後のリスク対応（低減・回避・移転・受容）との区別が頻出ポイントである。