平成22年秋期試験問題 午前Ⅱ 問5
問5解説へ
JIS Q 27001:2006における情報システムのリスクとその評価に関する記述のうち，適切なものはどれか。
- 脅威とは，脆弱性が顕在化する確率のことであり，情報システムに組み込まれた技術的管理策によって決まる。
- 脆弱性とは，情報システムに対して悪い影響を与える要因のことであり，自然災害，システム障害，人為的過失及び不正行為に大別される。
- リスクの特定では，脅威が情報資産の脆弱性に付け込み，情報資産に与える影響を特定する。
- リスク評価では，リスク回避とリスク低減の二つに評価を分類し，リスクの大きさを判断して対策を決める。
正解 ウ問題へ
分野：テクノロジ系
中分類：セキュリティ
小分類：情報セキュリティ管理
中分類：セキュリティ
小分類：情報セキュリティ管理
広告
解説
- 脅威とは、情報システムに悪い影響を与える要因です。
- 脆弱性とは、組織や情報システムに内在する欠点や弱点です。
- 正しい。リスクの特定は、リストアップされた脅威と脆弱性の関連性を分析し、リスクを洗い出す作業です。
- リスク評価は、リスクが顕在化した場合の損害の大きさ、およびその発生確率などの情報をもとにリスクの大きさ(強度)を決定する作業です。また、リスク評価には「定量的評価」「定性的評価」の2つの評価方法があります。
記述にあるリスクへの対策を決定する作業はリスク対応になります。
広告