問68
頻出度★★★
情報セキュリティにおけるリスクアセスメントの説明として, 適切なものはどれか。
平成30年度 秋期 ITパスポート試験 問68
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 68
错误ア
清除入侵 PC 或服务器的病毒, 是对已实际发生事件的处理（病毒防护、事件响应）, 而不是进行风险分析与评价的风险评估。
- イ
正解 风险评估是指对已识别信息资产面临的风险进行「分析」, 并将其大小对照一定的「基准」加以「评价」, 从而判断是否需要应对（风险应对）的一系列活动。选项イ正是描述了这一流程（对已识别资产的风险进行分析与评价, 并对照基准判断是否需要应对）, 作为风险评估的说明是恰当的。
错误ウ
使用事先登记的信息确认使用者确为本人, 这是「认证（身份确认）」的说明, 而不是评价风险的活动。
错误エ
在引入信息系统时计算费用效益, 这是用于投资决策的成本效益分析, 与分析、评价资产风险的风险评估不同。
ここがポイント
- 风险评估 = 风险分析（把握风险的大小）+ 风险评价（对照基准判断是否需要应对）所构成的一系列活动。
- 要区分风险评估与对实际事件的处理（如清除病毒）、认证、费用效益计算属于不同的概念。
用語