問70
頻出度★★★
ISMS におけるリスク分析に関する記述として, 適切なものはどれか。
平成30年度 春期 ITパスポート試験 問70
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 70
错误ア
风险值基本上按「资产价值 × 威胁 × 脆弱性」的关系来把握，若威胁和脆弱性的级别相同，则资产价值越大，风险值也越大。ア 说「资产价值越小，风险值越大」，把大小关系弄反了，因此是错误的。
错误イ
对所有风险一律进行详细分析既不现实，也并未被要求。根据系统的规模和重要程度，把需要详细分析的对象与用简易方法（如基线等）处理即可的对象区分开来使用，才是切合实务的风险分析，因此 イ 是错误的。
错误ウ
信息资产不仅包括电子数据，还包括纸质媒介的文档、人员、设备等。纸质数据同样存在泄露、丢失等风险，因此不得将其排除在分析对象之外，ウ 主张「纸质媒介不作为对象」，因此是错误的。
- エ
正解 正确答案是 エ。ISMS 中的风险分析，原则上应采用符合对象组织实际情况的方法来进行。需要保护的信息资产种类、可能面临的威胁、法律法规、业务的性质等，会因行业和业种不同而有很大差异，因此风险的内容也并非千篇一律。所以，不应套用统一划一的方法，而应选择适合对象组织的分析方法来使用，エ 是恰当的。
ここがポイント
- 风险值以「资产价值 × 威胁 × 脆弱性」来把握，若威胁和脆弱性相同，则资产价值越大，风险值也越大。
- ISMS 的风险分析应选择适合对象组织和业种的方法来进行，信息资产无论是电子还是纸质媒介都作为分析对象。
用語