問1
頻出度★★★
リスクアセスメントを三つのプロセスに分けるとすると, リスクの特定, リスクの評価ともう一つはどれか。
平成31年度 春期 ITパスポート試験 問1
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 1
错误ア
「风险转移」是通过投保、业务外包等方式将风险转移给第三方的手法，属于对风险的「应对（风险应对）」。它不包含在用于估量风险大小的评估的三个过程之中。
错误イ
「风险规避」是通过停止产生风险的活动本身、消除风险因素的手法，这同样是「风险应对」的一种。它是在评估（识别、分析、评价）之后的阶段所选择的应对策略，并非评估的构成要素。
错误ウ
「风险降低」是通过采取对策来降低发生概率或影响的手法，同样属于「风险应对」。它不是估量风险的环节，而是评价之后采取的处置，因此不属于评估的三个过程。
- エ
正解 风险评估是风险管理中用来梳理并估量风险的一系列活动，由「风险识别」「风险分析」「风险评价」三个过程构成。题目已列出「风险识别」和「风险评价」，因此剩下的一个就是「风险分析」= エ。风险分析是针对已识别的风险，估量其发生概率和影响大小，明确风险大小（风险级别）的环节；其结果将在下一个评价环节中用于判断是否需要应对以及应对的优先级。
ここがポイント
- 风险评估 =「风险识别」→「风险分析」→「风险评价」三个过程（JIS Q 31000）。在分析中估量风险的大小，在评价中判断是否需要应对及优先级。
- 转移、规避、降低（以及接受）是「风险应对（风险对策）」的选项，与评估属于不同阶段。这一区分正是本题的考点。
用語