平成29年度秋期 ITパスポート試験問57

这道题的解析和你的作答记录。

問57

頻出度★★★

ISMS における情報セキュリティリスクの取扱いに関する“リスク及び機会に対処する活動”には, リスク対応, リスク評価, リスク分析が含まれる。この活動の流れとして, 適切なものはどれか。

出典　平成29年度秋期 ITパスポート試験問57

解説

問 57

错误ア
「风险应对 → 风险评价 → 风险分析」顺序完全颠倒。在尚未进行分析和评价的阶段，无法确定风险应对措施。应对是在分析、评价之后进行的最后一道工序。
错误イ
「风险评价 → 风险分析 → 风险应对」中分析与评价的先后颠倒。风险评价是把风险分析所测算出的大小与风险准则相比较的工序，因此风险分析必须排在前面。
错误ウ
「风险分析 → 风险应对 → 风险评价」中评价与应对的先后颠倒。应先在风险评价中确定是否需要应对及优先级，再进入风险应对，不能跳过评价而先行应对。
エ
正解正确答案是エ「风险分析 → 风险评价 → 风险应对」。在 ISMS(JIS Q 27001)的风险管理中，首先进行风险评估，再根据其结果实施风险应对。风险评估按「风险识别 → 风险分析 → 风险评价」的顺序推进：在风险分析中测算风险的大小（发生可能性与后果的大小），在风险评价中将该分析结果对照风险准则，判断是否需要应对及应对的优先级。只有在判断确定之后，才采取接受、降低、规避、转移等风险应对措施。因此流程为「风险分析 → 风险评价 → 风险应对」，エ恰当。

ここがポイント

风险管理的大框架是「风险评估 → 风险应对」，其中风险评估由「风险识别 → 风险分析 → 风险评价」构成（JIS Q 27001 / ISO 31000）。
记住这一顺序：风险分析（测算风险大小）→ 风险评价（与准则比较，判断是否需要应对及优先级）→ 风险应对（接受、降低、规避、转移等措施）。

用語

解答問57エ