問99
頻出度★★★
ISMSにおける情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。 b 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。 c リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。
平成30年度 秋期 ITパスポート試験 問99
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 99
- ア
正解 风险评估由「风险识别→风险分析→风险评价」三个阶段构成。风险评价是指：将风险分析中估算出的风险大小与预先设定的基准相对照，从而对优先处理哪些风险进行排序的阶段。选项 a「依据预先设定的基准，对已分析的风险进行优先级排序」正是这一定义本身，属于风险评价。b、c 不属于风险评价，因此属于风险评价的只有 a，正确答案为 ア。
错误イ
a 属于风险评价，是正确的；但 b「梳理出在处理应受保护的信息资产时所存在的风险」是找出风险的工作，属于三个阶段中最初的「风险识别」。该项包含了并非评价的 b，因此错误。
错误ウ
b「梳理找出风险」属于风险识别，而非风险评价。该项一个属于评价的事项都不包含，因此错误。
错误エ
c「设定用于判断当风险显现时是否实施应对措施的基准」是事先制定评价所用判断基准本身的工作，属于风险评估的前提准备。它并非依据基准进行排序的风险评价工作，因此错误。
ここがポイント
- 风险评估由三个阶段构成：风险识别（找出风险）→ 风险分析（估算风险的大小）→ 风险评价（与基准对照并对应对的优先级进行排序）。
- 风险评价是依据预先设定的基准对分析结果进行判断并排定优先级的阶段。制定基准本身的工作，以及梳理找出风险的工作，都不包含在评价之内。
用語