問56
頻出度★★★
リスクマネジメントに含まれる四つのプロセスであるリスク対応, リスク特定, リスク評価, リスク分析を実施する順番として, 適切なものはどれか。
平成25年度 秋期 ITパスポート試験 問56
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 56
错误ア
以「风险识别」开头这一点是正确的，但「风险评价」和「风险分析」的顺序颠倒了。只有先算出风险的大小，评价才能与基准进行比较，所以不可能在分析之前先做评价。必须是分析 (估算大小) → 评价 (与基准比较作判断) 的顺序。
- イ
正解 正确答案是「イ」。风险管理按照 JIS Q 31000 (ISO 31000)，先进行前半部分的「风险评估」，再根据其结果进行后半部分的「风险应对」。风险评估的内容分为三个阶段：(1)「风险识别」= 找出在哪里潜藏着什么样的风险；(2)「风险分析」= 估算已找出的各项风险的发生频率 (发生的可能性) 和影响的大小，算出风险的大小；(3)「风险评价」= 把算出的大小与事先确定的基准 (可接受的水平) 相对照，判断是否需要应对、优先处理哪一项。在此基础上，作为 (4)「风险应对」，选择规避、降低、转移、保有等具体手段并加以实施。因此「风险识别 → 风险分析 → 风险评价 → 风险应对」才是正确的顺序。可以记成「先找出来 → 量出大小 → 与基准比较作判断 → 采取措施」。
错误ウ
开头是「风险评价」。在还没有找出存在哪些风险 (还没有做风险识别) 的阶段，根本不存在可供评价的对象。风险管理必然从「风险识别」开始。
错误エ
开头是「风险分析」，把分析放在识别之前，这一点首先就错了。而且还把「风险应对」放在「风险评价」之前，等于在判断是否需要应对、优先处理哪一项之前就先采取措施，顺序上不成立。风险应对要排在四个过程的最后。
ここがポイント
- 风险管理的四个过程顺序为「风险识别 → 风险分析 → 风险评价 → 风险应对」。前三个 (识别、分析、评价) 合称「风险评估」。
- 要点是区分各阶段的作用：风险识别 = 找出风险；风险分析 = 根据发生频率和影响程度算出风险的大小；风险评价 = 与基准比较，判断是否需要应对及优先顺序；风险应对 = 实施规避、降低、转移、保有等具体措施。
用語