平成21年度 春期 データベーススペシャリスト試験 午前Ⅱ 問17

解説

リスク分析とは，情報システムにおいてどのような脅威・脆弱性が，どこに，どのように存在し，それが現実の損失につながる場合にどの程度の影響（損害の大きさ）をもたらすかを識別し，測定するプロセスです。

選択肢ごとの解説

• ア誤り。情報セキュリティのリスク分析で対象とするのは，発生すれば必ず損失につながる純粋リスクであり，利益にも損失にもなり得る投機的リスクではない。
• イ誤り。リスクの予想損失額は，損害の発生確率と，発生した場合の被害額（損失額）などから算出されるものであり，予防コスト・復旧コスト・代替コストの単純合計で表されるものではない。
• ウ正しい。リスク分析では，現実に発生すれば損失をもたらすリスクが情報システムのどこにどのように潜在しているかを識別し，その影響の大きさを測定する。
• エ誤り。リスク評価額は，一般に損害の発生確率と被害額を掛け合わせるなどして算出される期待値的な指標であり，単に1回当たりの平均予想損失額だけで表されるものではない。