令和4年度秋期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：リスクアセスメントは“調べて、考えて、判断する”ところだよ

JIS Q 31000 系の考え方では、リスクアセスメントは「リスク特定」「リスク分析」「リスク評価」の3つでできているよ。たとえるなら、旅行前に「どんなトラブルがありそうか見つける」「どれくらい困るか考える」「優先して対策すべきか判断する」という流れだね。その後の「どう対応するか」や「このリスクは受け入れよう」と決める部分は、リスクアセスメントの後の話なので、構成要素に入れないようにしよう。

この問題で問われていること

リスクマネジメント全体の中から、リスクアセスメントに当たる部分だけを正しく切り出せるかがポイントだよ。

What Belongs to Risk Assessment

risk assessment consists of identifying risks、 analyzing them、 and evaluating them; treatment or acceptance comes afterward

identify risks\nanalyze risks\nevaluate risks\ntreatment is separate

確認ポイント

• アセスメント範囲を絞る。
• 対応や受容を混ぜない。
• 3要素で覚える。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

この文は選択肢としては壊れていて、プロセスの組合せになっていないので不正解だよ。もし公式のア『リスク特定、リスク評価、リスク受容』のことなら、『どれくらい危ないか考える』リスク分析が抜けていて、『受け入れる』という対応側の話が入っているから間違いだよ。

選択肢イ（正解）

これは不正解だよ。リスクアセスメントは、家の防犯チェックでいうと「どこが危ないか見つける」「どれくらい危ないか考える」「優先度を決める」までの流れなんだ。『リスク受容』は『このくらいなら鍵を増やさず様子見でいいね』と決める対応側の話なので、アセスメントの中には入らないよ。

選択肢ウ

これが正解だよ。リスクアセスメントは、家の防犯でいうと、まず『窓が開きやすい』と危険を見つけるのがリスク特定、次に『泥棒に入られる可能性と被害はどれくらい？』と考えるのがリスク分析、最後に『対策すべき優先度は高い？低い？』と判断するのがリスク評価、という3点セットなんだ。

選択肢エ

これは不正解だよ。『リスク対応』や『リスク受容』は、防犯チェックの結果を見て『鍵を増やそう』『この窓は今のままでいい』と決める段階の話なんだ。リスクアセスメントはその前の『危険を見つける・調べる・評価する』までなので、対応や受容が入る組合せは外れるよ。