正答2
解説
正解は2です。
この問題は、ISMSのリスクアセスメントで最初に行う作業を問うています。
リスクアセスメントは、リスク特定、リスク分析、リスク評価の3つのプロセスを順に行うことです。
その後に、評価の結果に基づいてリスク対応を行います。
【選択肢別解説】
1：× リスク対応は、リスクアセスメントの結果を受けて、リスクの低減や移転などの対策を決めるプロセスです。
リスクアセスメントの後に行うもので、最初ではありません。
2：○ リスク特定は、どのようなリスクがあるかを洗い出し、記述するプロセスです。
リスクアセスメントで最初に行う作業です。
3：× リスク評価は、分析したリスクの大きさを基準と比べ、対応の要否や優先順位を決めるプロセスです。
リスクアセスメントの最後に行います。
4：× リスク分析は、特定したリスクの起こりやすさや影響の大きさを分析し、リスクレベルを決めるプロセスです。
リスク特定の後に行います。
【ポイント】
リスクアセスメントの順序は「特定、分析、評価」で、その後に「対応」が続きます。
「何があるか（特定）」「どのくらい大きいか（分析）」「対応すべきか（評価）」と意味で覚えると忘れにくくなります。