問68
頻出度★★★
資産A～Dの資産価値，脅威及び脆弱性の評価値が表のとおりであるとき，最優先でリスク対応するべきと評価される資産はどれか。ここで，リスク値は，表の各項目を重み付けせずに掛け合わせることによって算出した値とする。
| 資産名 | 資産価値 | 脅威 | 脆弱性 |
|---|---|---|---|
| 資産A | 5 | 2 | 3 |
| 資産B | 6 | 1 | 2 |
| 資産C | 2 | 2 | 5 |
| 資産D | 1 | 5 | 3 |
平成31年度 春期 ITパスポート試験 問68
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 68
- ア
正解 由于风险值是将各项目不加权重相乘得到的值，因此按「风险值＝资产价值×威胁×脆弱性」计算。各资产的风险值为：资产A＝5×2×3＝30、资产B＝6×1×2＝12、资产C＝2×2×5＝20、资产D＝1×5×3＝15。其中最大的是资产A的30，应对风险值最高的资产最优先进行风险应对，因此答案是资产A（ア）。
错误イ
资产B的资产价值为6是最大的，但威胁只有1较低，因此风险值仅为6×1×2＝12，在4个资产中属于最小的一类。评价所依据的是乘积（风险值）而非单一的资产价值，因此不是最优先。
错误ウ
资产C的脆弱性为5是最高的，但资产价值只有2较低，因此风险值为2×2×5＝20。仅次于资产A的30，排在第二位，不是最优先。
错误エ
资产D的威胁为5是最高的，但资产价值只有1是最小的，因此风险值为1×5×3＝15。小于资产A的30，不是最优先。
ここがポイント
- 按「风险值＝资产价值×威胁×脆弱性」（不加权重的乘积）求得，对值最大的资产最优先进行风险应对。
- 要点在于：不以单一项目（仅资产价值、仅威胁或仅脆弱性）的大小来判断，而是以三个项目的乘积进行综合评价。
用語