問99
頻出度★★★
情報セキュリティのリスクマネジメントにおいて, リスク移転, リスク回避, リスク低減, リスク保有などが分類に用いられることがある。これらに関する記述として, 適切なものはどれか。
令和3年度 ITパスポート試験 問99
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 99
- ア
正解 风险转移、风险规避、风险降低、风险保留是风险管理中「风险应对」阶段对已梳理出的风险所采取的应对措施的分类。ア在正确表述这一定位的基础上，把为风险显现（发生损失）做准备而投保的行为归为风险转移。投保是把由风险造成的损失负担转移给保险公司这一第三方的典型例子，因此作为风险转移的分类是恰当的。故ア正确。
错误イ
框架有误。这四个词并非「风险识别」而是「风险应对」中对应对措施所做的分类，也不是对所持有资产使用目的的分类。引入防恶意软件（杀毒）软件是降低风险的措施，因此把它归为风险降低这一点本身是对的，但前提的定位有误，故不恰当。
错误ウ
框架有误。这四个词不是在「风险评价」中对评价方法所做的分类，而是在「风险应对」中对应对措施所做的分类。风险规避指的是停止或排除风险因素本身的应对措施，「以能否规避来评价的方法」这一说明也偏离了本质。
错误エ
框架有误。这四个词不是「风险分析」的分析手法的分类，而是「风险应对」的应对措施的分类。此外，用客观数值来表示脆弱性的手法属于定量风险分析的方法，与接受并保留风险的风险保留无关。属于双重错误。
ここがポイント
- 风险应对的四种分类：风险转移（转移给第三方、投保）／风险规避（排除风险因素、终止相关活动）／风险降低（通过对策降低发生概率与影响）／风险保留（接受并原样承担）。
- 要记住：这些是在分析与评价之后的「风险应对（treatment）」阶段所做的分类，而不是风险识别或风险分析阶段的分类。
用語