問45
頻出度★★★
情報システムの安定稼働を妨げる様々な脅威への事前対策に関する説明のうち，適切なものはどれか。
平成21年度 秋期 ITパスポート試験 問45
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 45
错误ア
非法访问的威胁并不只是来自外部的入侵。内部人员的违规操作、权限滥用，以及冒用正规用户的 ID 等也都是重大威胁，即使能完全阻止外部入侵，作为事前对策也不能说是充分的。而且「能够完全阻止」这一前提本身就不现实。
错误イ
地震、水灾等自然灾害虽然难以预测发生的时间，但估计受灾情况和评估发生概率是可能的，而且备份的异地保管、备用设备的准备等事前对策已经很成熟。以难以预测为由把自然灾害排除在对象之外，从业务连续性的角度看是错误的。
错误ウ
备份只是数据丢失后的恢复手段，对防止信息泄露、缩短服务中断时间、阻断非法访问等都没有作用。相反，备份介质本身还可能成为泄露源。仅靠备份不可能让其他事前对策变得不必要。
- エ
正解 エ 正确。在信息系统的威胁对策中，把所有威胁都降为零在现实中是不可能的，而且对策必然要花费成本。因此要通过风险评估估算「该威胁发生时的预计损失额（发生概率 × 损失大小）」，再把它与「对策所需的成本」进行比较，从性价比合算的对策开始优先实施。对于对策成本高于预计损失额的部分，则采取投保转移风险或接受风险等其他选项。这种「考虑权衡后采取必要的事前对策」的思路正是风险应对的基本原则，因此是恰当的说明。
ここがポイント
- 风险应对要按「预计损失额（发生概率 × 损失额）与对策成本之间的权衡」来决定优先顺序。基本做法不是追求零风险，而是按性价比来选择。
- 威胁多种多样，包括外部入侵、内部违规、自然灾害、故障等，单一对策（只防入侵、只做备份）无法覆盖全部。
用語