問63
頻出度★★★
情報セキュリティのリスクマネジメントをリスク特定, リスク分析, リスク評価, リスク対応に分けたときに, リスク対応に含まれるものはどれか。
平成29年度 春期 ITパスポート試験 問63
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 63
错误ア
「梳理排查出组织中存在的风险」是找出哪里存在何种风险的工作，属于风险管理最初阶段的「风险识别」，而不是风险应对。
错误イ
「将风险的大小与风险接受准则进行比较，判断是否有必要实施对策」是判定所算出的风险大小是否处于可接受水平的阶段，属于「风险评价」，并不是决定应对方法的阶段。
错误ウ
「根据风险的发生概率与影响程度，估算风险的大小」是估计风险严重程度的工作，属于「风险分析」。它仍处于把风险大小求成数值或水平的阶段，与选择处理方法的风险应对不同。
- エ
正解 风险管理按照「风险识别→风险分析→风险评价」（这三步合称风险评估）的流程排查并掌握风险的大小，最后再用「风险应对」来决定如何处理这些风险并采取措施。选项エ「选择应对风险的处理方法，并制定具体的管理措施计划」，正是决定如何处理风险（在规避、降低、转移、保留等方针中作出选择）并为此制定管理措施的行为，就是风险应对本身。因此エ正确。
ここがポイント
- 风险管理的流程：风险识别（排查梳理）→风险分析（用发生概率×影响程度算出大小）→风险评价（与接受准则比较，判断是否需要对策）→风险应对（选择处理方法并制定管理措施计划）。前三个阶段合称风险评估。
- 记住风险应对＝在应对风险的方针（规避、降低、转移、保留等）中作出选择，并计划、实施具体管理措施的阶段，要与风险分析、风险评价区分开。
用語