风险评估的流程
頻出约 32 分钟5 个术语过去问 15 题
本单元目标
- 能把 信息安全风险 解释为威胁利用脆弱性、给信息资产造成损害的关系。
- 能按正确顺序排列 风险评估 的各个步骤，并看出风险应对不在其范围之内。
- 能区分识别、分析、评价这几个步骤各自要做的工作。
术语总表（5 个）
术语
信息安全风险（情報セキュリティリスク）是指 威胁 利用 脆弱性，使 信息资产 遭受损害的可能性。
威胁 是造成损害的事件，脆弱性 是会被威胁利用的防守方弱点。只有其中一方时通常不容易造成损害，两者同时存在时风险就会升高。风险评估就是找出这类风险、衡量其大小并决定是否需要应对的活动。
类比在常有入室盗窃（威胁）的小区里，有一户人家后门的锁坏了（脆弱性）。这时“家里的东西可能被偷”这种可能性本身，就相当于风险。
记法“脆”就是易碎、经不起打击的意思。经不起打击的是防守的一方，而不是发起攻击的那一方。
考点
- 常考威胁（脅威）利用信息资产（情報資産）的 脆弱性（脆弱性），使组织遭受损害的可能性，就是信息安全风险（情報セキュリティリスク）。把威胁和脆弱性的角色互换的组合是不成立的。
- 常考威胁不仅包括恶意攻击，也包括自然现象、设备故障这类并非有意造成的事件。设置上的疏漏、对用户的培训不足，属于脆弱性而不是威胁。
该术语的过去问 2 题 情報セキュリティリスク →
风险评估（リスクアセスメント）是依次进行 风险识别、风险分析、风险评价 这 3 个步骤，弄清哪些风险需要应对及其优先顺序的一系列活动。
组织从调查风险到采取措施的整个活动称为 风险管理（リスクマネジメント），风险评估是其中在采取措施之前调查风险的阶段。通过它，可以弄清哪些风险需要应对、应先从哪一项着手。
类比就像房屋检修人员先找出墙面裂缝和漏雨的位置，再逐一测量损坏程度，最后对照维修标准，把需要尽快处理的地方报告出来。
考点
- 常考风险评估（リスクアセスメント）包括风险识别（リスク特定）、风险分析（リスク分析）、风险评价（リスク評価）这 3 项，不包括风险应对（リスク対応）。评估到决定应对的优先顺序为止，具体采用什么应对方法则在风险应对中决定。
- 常考步骤的顺序是从识别到分析、从分析到评价，之后才是风险应对。评价不会排在分析之前。
该术语的过去问 2 题 リスクアセスメント →
风险识别（リスク特定）是风险评估的第一个步骤，即找出需要保护的信息资产面临哪些风险，并逐一列出来。
先列出作为对象的信息资产，再把与每项资产相关的威胁和脆弱性组合起来，描述可能发生的情况。在 ISMS（组织持续管理信息安全的体系）中，对象是组织所确定的 适用范围（適用範囲）内的信息。这一步漏掉的风险，后续步骤也不会再处理，因此要尽量全面地找出来。
类比就像出门旅行前，把丢钱包、电车停运、旅馆没订上之类可能遇到的麻烦，一条条写在纸上的阶段。
记法“识别”对应英语 identification，也就是证件 ID 的那个词。可以联想成先查明“来的是谁”的阶段。
考点
- 常考风险评估（リスクアセスメント）中最先进行的是 风险识别（リスク特定），即找出组织存在哪些风险。
- 常考在 ISMS 的风险识别中，针对适用范围（適用範囲）内的信息，找出因机密性、完整性、可用性这 3 项丧失而带来的风险。
该术语的过去问 2 题 リスク特定 →
风险分析（リスク分析）是针对已识别的每项风险，估算其 发生可能性 和 影响大小，从而确定 风险等级（风险的大小）的步骤。
估算有两类方法：用损失金额等数值来表示的 定量 方法，以及用高、中、低等级别来表示的 定性 方法。也有按资产分别估算资产价值、威胁和脆弱性来求出风险大小的方法，这时资产价值关系到影响的大小，威胁和脆弱性关系到发生的可能性。
类比就像台风逼近时，把“会不会登陆”和“登陆后会造成多大损失”结合起来，估量这场台风有多危险。
记法“析”字由“木”和“斤”（斧头）组成，样子是用斧头劈开木头。可以记成：把风险劈开，看清里面，量出大小。
考点
- 常考风险分析（リスク分析）要以能与准则相比较的形式，确定每项风险的 风险等级（リスクレベル）。分析方法选用适合本组织的即可，并没有规定所有风险都必须采用同一种技术。
- 常考资产价值（資産価値）、威胁、脆弱性这 3 项共同左右风险的大小。其他条件相同时，资产价值越高的资产，风险也越大。
- 易混找出风险并列成清单的是 风险识别（リスク特定），为清单中每项风险确定大小的是 风险分析。
该术语的过去问 2 题 リスク分析 →
风险评价（リスク評価）是把分析得出的风险等级与 风险准则 相比较，决定是否需要应对以及应对先后顺序的步骤。
风险准则（リスク基準）是表明多大程度的风险可以接受等内容的衡量尺度，由组织在开始评价之前定好。评价的结果会成为下一步风险应对的输入。
类比就像把考试分数和及格线作比较，决定哪些科目需要补课、先补哪一科。
记法“评价”的“价”就是价值的“价”，英语 evaluation 也与 value（价值）同源。可以联想成拿尺度去量、定出价值的步骤。
考点
- 常考风险评价（リスク評価）是把分析算出的风险大小与事先定好的准则相比较，确定其严重程度和应对优先顺序的步骤。
- 常考制定判断所用的准则本身，并不属于风险评价的工作内容。准则要在评价之前准备好。
- 易混估算出大小为止属于 风险分析（リスク分析），把这个大小对照准则、决定是否需要应对的是 风险评价。
该术语的过去问 2 题 リスク評価 →
要点
- 信息安全风险 是威胁利用脆弱性、使信息资产受损的可能性。
- 风险评估 按识别、分析、评价的顺序进行，之后才是风险应对。
- 资产价值、威胁、脆弱性这 3 项左右着风险的大小。
- 评价所用的风险准则，由组织在开始评价之前定好。
查看这个领域的全部过去问 →