問72
頻出度★★★
情報セキュリティのリスクアセスメントにおける, 資産価値, 脅威, 脆弱性及びリスクの大きさの関係として, 適切なものはどれか。
平成26年度 春期 ITパスポート試験 問72
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 72风险的大小 = 资产价值 × 威胁 × 脆弱性
错误ア
错误。威胁是指可能给资产带来损失的原因或事件本身（恶意软件、非法访问、地震、运维人员的失误等），是作为组织外部的因素而给定的。威胁的大小并不是由资产价值、脆弱性，更不是由作为结果的风险大小来决定的。本选项把原因和结果说反了，因果方向是错误的。
错误イ
错误。资产价值取决于该信息资产对组织有多重要（机密性、完整性、可用性受损时影响的大小），在风险评估中它是最先评价的输入。并不是威胁、脆弱性和风险的大小决定资产价值，顺序恰好相反。
错误ウ
错误。脆弱性是指资产一侧会被威胁利用的弱点（未修补的安全漏洞、访问管理不充分、教育不足等），它是作为系统或管理体制自身的状态而被评价的输入。说脆弱性的大小由资产价值、威胁以及作为结果的风险大小来决定，同样是把因果关系弄反了。
- エ
正解 正确答案是 エ。在信息安全的风险评估中，风险的大小用「资产价值 × 威胁 × 脆弱性」这一关系来把握。需要保护的信息资产价值越高，一旦丧失时的影响就越大。威胁（非法访问、恶意软件、灾害、人为失误等）是危及该资产的因素，其发生的可能性越高，危险就越大。而脆弱性是会被威胁利用的弱点（未修补的安全漏洞、脆弱的口令、管理体制的缺陷等），脆弱性越大，威胁就越容易转化为实际的损失。也就是说，资产价值、威胁、脆弱性这三者是作为原因的输入，风险的大小则是由此决定的结果。エ 正好如实地表述了这个因果方向，因此是恰当的。反过来说，由于资产价值本身往往无法降低，因此在实务上，通过堵住脆弱性（打补丁、访问控制）来降低风险就成为基本做法。
ここがポイント
- 风险的大小 = 资产价值 × 威胁 × 脆弱性。要牢记这个因果方向：资产价值、威胁、脆弱性是输入（原因），风险的大小是输出（结果）。
- 区分各术语的定义。资产价值是被保护对象的重要程度，威胁是可能造成损失的外部因素，脆弱性是资产一侧会被威胁利用的弱点，而风险则是由这些因素组合而产生的损失可能性。
用語