令和6年度春期 ITサービスマネージャ試験午前II 問16

この問題は2024(R6)春 ITサービスマネージャ午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

JIS Q 27000:2019（情報セキュリティマネジメントシステムー用語）における用語の定義として，適切なものはどれか。

ア. トップマネジメントとは，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体のことである。

イ. リスクアセスメントとは，リスクを修正するプロセスのことであり，リスクを生じさせる活動を開始又は継続しないと決定することによって，リスクを回避することを含む。

ウ. リスク評価とは，リスク及び／又はその大きさが受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。

エ. リスク分析とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

解答・解説を読む

正解: 選択肢ウ

JIS Q 27000:2019（情報セキュリティマネジメントシステムー用語）における用語の定義に関する問題です。
正解はウです。

リスク評価とは、リスク分析の結果をあらかじめ定めたリスク基準と比較し、そのリスクが許容可能かどうかを決定するプロセスです。

ア: 不適切。「リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体」は、リスク所有者（リスクオーナー）の定義です。トップマネジメントは、組織を指揮し管理する最高経営層を指します。
イ: 不適切。「リスクを修正するプロセス」であり「リスクを回避することを含む」のは、リスク対応の定義です。リスクアセスメントは、リスク特定、リスク分析、リスク評価からなるプロセス全体を指します。
ウ: 適切。リスク評価の正しい定義です。
エ: 不適切。「リスクを発見、認識及び記述するプロセス」は、リスク特定の定義です。リスク分析は、リスクの特質を理解し、リスクレベルを決定するプロセスを指します。