問53
頻出度★★★
ISMSにおけるセキュリティリスクへの対応には, リスク移転, リスク回避, リスク受容及びリスク低減がある。リスク回避に該当する事例はどれか。
平成27年度 春期 ITパスポート試験 問53
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 53
错误ア
「采取安全对策, 降低了问题发生的可能性」是风险降低(风险减轻)的例子。活动本身仍在继续,只是通过对策减小了发生概率和损失程度,因此不是规避。
错误イ
「为问题发生时的损失做准备, 购买了保险」是风险转移(风险转嫁)的例子。它只是把损失的负担转移给保险公司这一第三方,产生风险的活动本身仍在继续,因此不属于规避。
错误ウ
「确认风险较小后, 决定在问题发生时自行承担损失」是风险接受(风险保留)的例子。这是不采取对策、原样接受风险的判断,与停止活动的规避正好相反。
- エ
正解 正确答案是 エ。在 ISMS 的风险应对中,所谓「风险规避」是指停止(或者一开始就不开展)引发风险的活动本身,从而彻底消除风险来源的应对方式。「从风险较大的服务中撤出」正是通过不再提供该项服务,使风险本身不复存在,因此完全符合风险规避。与降低(减小发生概率或影响)、转移(让第三方代为承担)、接受(原样接受)不同,只有规避是放弃带有风险的活动本身,这一点就是判断的决定性依据。
ここがポイント
- 风险应对的 4 种分类: 规避(停止活动本身以消除风险)、降低(通过对策减小发生概率和影响)、转移(通过保险或外包把负担转给第三方)、接受/保留(对较小的风险原样接受)。
- 判别诀窍: 「撤出、中止、不做」= 规避,「采取对策、加强防护」= 降低,「保险、外包」= 转移,「什么都不做、原样接受」= 接受。
用語