問88
頻出度★★★
ISMS のリスクアセスメントにおいて, 最初に行うものはどれか。
令和3年度 ITパスポート試験 問88
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 88
错误ア
风险应对（决定风险降低、规避、转移、接受等措施的工序）是在承接风险评估所得的评价结果之后才进行的，处于评估之后的阶段，并非最先进行。
- イ
正解 在 ISMS（JIS Q 27000 / ISO 27001）中，风险评估由「风险识别 → 风险分析 → 风险评价」三个步骤构成。选项イ的风险识别，是针对组织的信息资产梳理出存在哪些风险（威胁、脆弱性）的工作，属于评估的第一个步骤。由于必须先掌握风险的实体，之后才能进行分析与评价，因此最先进行的就是风险识别。
错误ウ
风险评价是把分析求得的风险大小，与预先设定的基准（风险接受准则）进行比较，从而判断是否需要应对及其优先顺序的工序。它是经过识别、分析之后的第三个步骤，并非最先进行。
错误エ
风险分析是对已识别的风险估计其发生可能性和影响程度，从而计算风险大小（等级）的工序。它是在风险识别之后进行的第二个步骤，并非最先进行。
ここがポイント
- ISMS 风险评估的顺序：风险识别 → 风险分析 → 风险评价（其后才是风险应对）。最先进行的是「风险识别」。
- 要区分：风险评估指识别、分析、评价这三个工序，而风险应对并不包含在评估之内，它是承接评价结果后实施的另一个独立工序。
用語