平成23年度 秋期 情報セキュリティスペシャリスト試験 午前II 問25

【解説】

ア: 情報セキュリティポリシーの作成
誤り。これはリスク管理全体の方針を定める活動であり、リスク分析手法そのものではありません。

イ: セーフガードの選択
誤り。これはリスク分析の結果をもとにリスク対応策を選択する段階です。分析自体の作業ではありません。

ウ: リスクの評価
正しい。詳細リスク分析では、資産・脅威・脆弱性を洗い出し、それらを組み合わせてリスクを評価します。この評価を基にしてリスク対応を行います。

エ: リスクの容認
誤り。リスクの容認は、評価と対応の検討後、受容可能と判断したリスクを受け入れる段階です。