リスクアセスメントはリスクの特定・分析・評価で構成される。リスク対応策の実施とは区別するとは？

リスクアセスメントでリスクの優先順位を明確にした後、回避、低減、移転、保有などのリスク対応を選択する。評価と対応は連続するが、同じ活動ではない。 ▍なぜ正解 リスクアセスメントは、リスクの特定、分析、評価を行う一連の活動である。情報資産、脅威、脆弱性を把握し、発生可能性と影響度からリスクの大きさを見積もる活動がこれに該当する。 ▍よくある間違い セキュリティを改善する活動を全てリスクアセスメントとみなし、対策実施やインシデント対応を選ぶ。 ▍試験の狙い 「洗い出す・見積もる・優先順位を付ける」なら評価、「導入する・移す」なら対応と判別する。