問47
頻出度★★★
情報セキュリティのリスクマネジメントにおいて, リスクの重大さを決定するために, 算定されたリスクを与えられた基準と比較するプロセスはどれか。
平成26年度 秋期 ITパスポート試験 問47
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 47
错误ア
风险应对是针对风险评估中被判定为严重的风险，选择并实施风险降低、风险规避、风险转移（分担）、风险保留（接受）等处置措施，从而修正风险的过程。它属于评估结束之后的阶段，并不是与基准比较来确定严重程度的阶段。
错误イ
风险识别是发现并认清组织中有哪些信息资产、威胁与脆弱性，存在哪些风险，并把它们逐条列出描述的过程。它是风险评估的第一个阶段，在这一时点风险的大小还没有被估算出来，也不会与基准进行比较。
- ウ
正解 正确答案是ウ「风险评价」。信息安全风险管理的术语由 JIS Q 27000（ISO/IEC 27000）定义，其中风险评估由「风险识别 → 风险分析 → 风险评价」三个阶段构成。作为最后一个阶段的风险评价，是把风险分析所估算出的风险大小（风险级别），与事先确定好的风险准则（可接受的风险水平）进行比较，从而确定该风险是否可以接受、应当优先处理哪些风险，也就是确定其严重程度与优先次序的过程。题干中的「估算出的风险」对应风险分析的输出，「给定基准」对应风险准则，「确定风险的严重程度」对应是否可接受与优先次序的判断，因此这一定义可以原样套用。归纳起来：测量大小的是风险分析，把测得的结果对照准则判定其可否接受的是风险评价。
错误エ
风险分析是对已识别出的风险估计其发生概率和影响程度等，理解风险的性质并估算出风险级别（风险的大小）的过程。产生题干中「估算出的风险」的正是这个风险分析，而不是把该估算结果与基准比较的下一个阶段。
ここがポイント
- 风险评估 = 风险识别（找出存在哪些风险）+ 风险分析（依据发生概率和影响程度估算风险级别）+ 风险评价（把估算结果与风险准则比较，确定是否可接受与优先次序）这三个阶段，其后再接风险应对（降低、规避、转移、保留），要记牢这个先后顺序。
- 区分风险分析与风险评价是高频考点。「估算大小」= 风险分析，「与基准比较来确定严重程度和是否可接受」= 风险评价。题干中一旦出现「与基准比较」这样的表述，就可以判断为风险评价。
用語