平成21年度 秋期 応用情報技術者試験 午前 問41
テクノロジ／セキュリティJIS Q 2001:2001に規定されたリスク算定の定量的評価を，組織のセキュリティ対策の優先度を検討するリスク分析に適用したものはどれか。
出典：平成21年度 秋期 応用情報技術者試験 午前 問41
- ア過去に発生した被害件数と対策の難易度で評価する。
- イ攻撃に対する対処時間と被害の顕在性で評価する。
- ウ攻撃元の特定可否と攻撃手法の新しさで評価する。
- エ被害が発生する確率と被害額で評価する。
正解：エ
解説
JIS Q 2001に基づくリスクの定量的評価では，リスクを「被害が発生する確率」と「被害の大きさ（被害額）」の積などで数値的に評価し，対策の優先度付けに用います。
選択肢ごとの解説
- ア誤り。過去の被害件数と対策の難易度による評価は，リスクの定量的な確率・影響評価とは異なる定性的・実務的な視点です。
- イ誤り。対処時間と被害の顕在性による評価は，リスク算定における確率と被害額という定量的な組合せとは異なります。
- ウ誤り。攻撃元の特定可否や攻撃手法の新しさは，定量的なリスク評価の指標ではありません。
- エ正しい。被害が発生する確率と被害額を用いて評価するのが，リスク算定の定量的評価の基本的な考え方です。