脅威分析とセキュリティリスクアセスメント
JIS Q 27005(ISO/IEC 27005)が示す情報セキュリティリスクマネジメントの工程のうち、「リスク特定」「リスク分析」「リスク評価」「リスク対応」の4つを実施順に並べたものとして適切なものはどれか。
- Aリスク分析 → リスク特定 → リスク対応 → リスク評価
- Bリスク対応 → リスク評価 → リスク分析 → リスク特定
- ✓リスク特定 → リスク分析 → リスク評価 → リスク対応
- Dリスク評価 → リスク特定 → リスク分析 → リスク対応
解説
リスクマネジメントプロセスでは、まずリスクを特定し、次に発生可能性や影響度を分析し、それを評価基準と照らして評価した上で、リスク対応（低減・保有・回避・移転）を決定する順序をとる。
根拠シラバス 情報セキュリティリスクアセスメント及びリスク対応に関する知識（JIS Q 27005のリスクマネジメントプロセス）