問91
頻出度★★★
次の作業a～dのうち, リスクマネジメントにおける, リスクアセスメントに含まれるものだけを全て挙げたものはどれか。 a 脅威や脆弱性などを使ってリスクレベルを決定する。 b リスクとなる要因を特定する。 c リスクに対してどのように対応するかを決定する。 d リスクについて対応する優先順位を決定する。
令和3年度 ITパスポート試験 問91
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 91风险评估 =「风险识别、风险分析、风险评价」三个步骤
错误ア
仅有「a, b」时, 缺少了确定优先顺序的 d (风险评价)。d 同样是评估的一个步骤, 因此不满足「全部列举」所包含内容的条件, 存在遗漏。
- イ
正解 在风险管理中, 风险评估指「风险识别 → 风险分析 → 风险评价」这三个步骤 (JIS Q 31000/ISO 31000)。a 利用威胁、脆弱性等确定风险级别, 属于「风险分析」; b 梳理出会成为风险的因素, 属于「风险识别」; d 确定应对的优先顺序, 属于「风险评价」, 三者都包含在风险评估之内。而 c「决定如何应对风险」是在评估之后进行的「风险应对」, 不包含在内。因此, 仅列举风险评估所包含内容的是 a、b、d, 正确答案是 イ。
错误ウ
「a, c, d」错在包含了 c。c「决定如何应对风险」是评估的下一阶段——「风险应对」, 并不包含在评估之中。此外, 遗漏了 b (风险识别) 也是错误。
错误エ
「c, d」中的 c 属于评估之外的「风险应对」, 并不合适。而且完全遗漏了本应包含在评估中的 a (风险分析)、b (风险识别), 几乎是相反的选择。
ここがポイント
- 风险评估 =「风险识别、风险分析、风险评价」三个步骤。其后的「风险应对」是另一个步骤, 不包含在评估之中 (JIS Q 31000/ISO 31000)。
- 各作业的对应关系: 梳理因素 = 风险识别; 由威胁、脆弱性推算风险级别 = 风险分析; 确定应对的优先顺序 = 风险评价; 决定如何应对 = 风险应对。
用語