問86
頻出度★★★
情報セキュリティにおけるリスクアセスメントを, リスク特定, リスク分析, リスク評価の三つのプロセスに分けたとき, リスク分析に関する記述として, 最も適切なものはどれか。
令和4年度 ITパスポート試験 問86
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 86
- ア
正解 风险分析是针对识别出的每个风险，将「发生可能性（发生频率）」与「后果（影响大小）」相结合，从而估算出该风险的大小，即风险等级的过程。此处得出的等级会在下一步的风险评价中与接受准则（可接受风险的基准）进行比较，用来判断是否需要采取应对措施。选项ア正是描述为「需要确定各风险的等级，以便能够与接受准则进行比较」，正确地表达了风险分析本身的作用，因此为正确答案。
错误イ
「将所有信息资产都作为分析对象」讲的是分析范围的问题，并不是风险分析的定义。应当作为分析对象的风险是在前一步的风险识别中梳理出来的，而且在实际工作中也会根据重要程度来缩小对象范围。这并不是对风险分析的说明，因此错误。
错误ウ
并不需要「对识别出的所有风险使用相同的分析技法」。可以根据风险的性质以及是否有可用数据，分别采用定量分析、定性分析等多种技法。反倒是强制统一使用一种技法，有时会导致无法得出恰当的等级评估，作为风险分析的要求是错误的。
错误エ
「确定风险是否可以接受」是后一步「风险评价」的作用，即把风险分析得出的等级与接受准则进行比较，从而判断是否需要采取应对措施。风险分析只到求出等级这一步为止，并不进行是否可接受的判定，因此作为对风险分析的描述是错误的。
ここがポイント
- 风险评估由「风险识别（梳理列出）→风险分析（估算各风险的等级）→风险评价（与接受准则比较，判断是否需要应对）」三个阶段构成（JIS Q 27000／ISO 27005）。
- 风险分析是确定风险等级的过程，风险评价是确定是否可接受的过程，不要混淆两者的作用，这正是本题的考点。
用語