ITパスポート 予想問題｜リスクアセスメント 第3回 第52問

解説

ISMS（ISO/IEC 27001）におけるリスクアセスメントは、リスクの特定（どのような脅威・脆弱性があるかを洗い出す）、リスクの分析（発生可能性と影響度からリスクの大きさを算定する）、リスクの評価（受容可能かを判断し対応の優先順位を決める）の3プロセスで構成される。よって「リスクの特定、分析、評価を行うこと」が正解である。インシデント対応手順の策定や従業員教育、セキュリティ製品の導入は、いずれもアセスメントの結果を踏まえて実施する「リスク対応」や管理策の段階に当たる。「特定→分析→評価」の3ステップの順序と、その後のリスク対応（低減・回避・移転・受容）との区別が頻出ポイントである。