問題 No.4049
情報セキュリティにおけるリスクアセスメントのプロセスにおいて、リスク分析（Risk Analysis）の目的として最も適切なものはどれか。
【正解の解説】
特定された資産、脅威、脆弱性を基に、発生する頻度と影響度を見積もり、リスクの大きさを決定すること
健康診断に例えるなら、コレステロール値や血圧の数値を図り「将来病気になる確率と、その時の重症度を数値化する」フェーズにあたります。ただ闇雲に怖がるのではなく、それがどれくらいの確率で起き、どれだけの被害をもたらすかを冷静に見極めるのがリスク分析の本質です。
スポンサーリンク
【その他の選択肢の解説】
特定されたリスクに対して、受容、移転、低減、回避などの適切な対応策を選択し、実施計画を策定すること
初学者が最も混同しやすいのが「分析」と「対応」の違いです。健康診断で数値が出た後に「運動を始めるか」「薬を飲むか」と治療方針を決めるのは対応フェーズであり、数値を見積もるだけの分析とは明確に区別して覚える必要があります。
組織が保有するすべての情報資産を洗い出し、その価値や機密性、完全性、可用性の観点から重要度を評価すること
金庫の中に何があるかをリストアップする作業は資産の特定であり、その後に「ドロボウに入られる確率」を考えるのがリスク分析です。作業の順番として、まずは資産を特定してから分析に進むというプロセスの流れを問う出題者の罠です。
決定されたリスクの大きさと組織の許容水準を比較し、当該リスクをそのまま受容するかどうかを判断すること
健康診断の数値（分析結果）を見て「この数値なら要治療だな」と基準に照らし合わせて判断を下すのはリスク評価の領域です。リスク分析はあくまで「大きさを見積もるまで」であり、合否や対策の判断を下すのは一歩先の工程になります。