正答4
解説
正解は4です。
情報セキュリティのリスクマネジメントは、リスク特定、リスク分析、リスク評価、リスク対応の順に進めます。
リスク対応は、評価結果を踏まえて対処方法を選び、具体的な管理策を計画する段階です。
【選択肢別解説】
1：× 組織に存在するリスクを洗い出すのは、リスク特定です。
2：× リスクの大きさをリスク受容基準と比較して、対策の必要性を判断するのは、リスク評価です。
3：× リスクの発生確率と影響度から、リスクの大きさを算定するのは、リスク分析です。
4：○ リスクへの対処方法（回避、低減、移転、保有など）を選び、具体的な管理策の計画を立てるのは、リスク対応です。
【ポイント】
リスク特定、リスク分析、リスク評価の三つをまとめてリスクアセスメントといいます。
「洗い出す」は特定、「算定する」は分析、「比較して判断する」は評価、「対処方法を選ぶ」は対応と対応させましょう。