セキュリティ
ITパスポート試験｜情報セキュリティにおけるリスクアセスメントの説明として，適切なものはどれか
情報セキュリティにおけるリスクアセスメントの説明として，適切なものはどれか。
アPCやサーバに侵入したウイルスを，感染拡大のリスクを抑えながら駆除する。
イ識別された資産に対するリスクを分析，評価し，基準に照らして対応が必要かどうかを判断する。
ウ事前に登録された情報を使って，システムの利用者が本人であることを確認する。
エ情報システムの導入に際し，費用対効果を算出する。
正解
イ．識別された資産に対するリスクを分析，評価し，基準に照らして対応が必要かどうかを判断する。
JIS Q 27001で定義されるリスクアセスメントは、(1)リスク特定→(2)リスク分析（大きさの推定）→(3)リスク評価（基準との比較・優先度判断）という三段階から成る。イの「識別された資産に対するリスクを分析、評価し、基準に照らして対応が必要かどうかを判断する」はこの定義に正確に合致する。
?選択肢ごとの解説
ア ×ウイルスを感染拡大リスクを抑えながら駆除する行為は是正処置（corrective action）の説明である。是正処置はJIS Q 27001のPDCAサイクル…
イ ○JIS Q 27001で定義されるリスクアセスメントは、(1)リスク特定→(2)リスク分析（大きさの推定）→(3)リスク評価（基準との比較・優先度判断）という三段階から成る。イの「識別された資産に対するリスクを分析、評価し、基準に照らして対応が必要かどうかを判断する」はこの定義に正確に合致する。
ウ ×「事前に登録された情報を使って利用者が本人であることを確認する」は認証（authentication）の説明であり、リスクアセスメントとは無関係である。
エ ×「費用対効果の算出」はコスト・ベネフィット分析または投資対効果（ROI）評価であり、システム導入判断の経済的分析に当たる。リスクアセスメントとは目的が異なる。
セキュリティの他の問題
ISMSにおける情報セキュリティ方針の説明として，適切なものはどれか情報セキュリティ対策において，情報を保護レベルによって分類して管理するとき，管理方法として，適切なものだけを全て挙げたものは…情報セキュリティにおける機密性，完全性及び可用性のコンピュータやネットワークに関するセキュリティ事故の対応を行うことを目的とした組織を何と呼ぶかISMSにおける情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙…情報セキュリティリスクへの対応には，リスク移転，リスク回避，リスク受容及びリスク低減がある。リスク受容に該当するISMSにおけるリスク分析に関するJPCERTコーディネーションセンターと情報処理推進機構(IPA)が共同運営するJVN(Japan Vulnerabilit…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
ITパスポート試験は全2,669問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 最終更新 2026-08-15 · ITパスポート試験 過去問 · itpass-h30a-q68