ソフトウェア開発平成11年問86 | テクニカルエンジニア（情報セキュリティ）試験対策

リスク分析に関する記述のうち、適切なものはどれか。


　ア　考えられるすべてのリスクに対応することは、時間と費用がか
　　かりすぎるので、損失額と発生確率を予想し、リスクの大きさの
　　順に優先順位をつける。

　イ　リスク分析によって評価されたリスクに対し、すべての対策が
　　完了しないうちに、繰り返しリスク分析を実施することは避ける
　　べきである

　ウ　リスク分析は、将来の損失を防ぐことが目的であるから、過去
　　の類似プロジェクトの経験から作成されたデータでは役に立たな
　　い。

　エ　リスク分析は、リスクの存在と発生による損失額を知ることが
　　目的であり、その対策に要する費用についてはリスク分析の対象
　　から除外される。

解説

難易度　★★
解答

　ア　考えられるすべてのリスクに対応することは、時間と費用がか
　　かりすぎるので、損失額と発生確率を予想し、リスクの大きさの
　　順に優先順位をつける。


　リスク評価額は「1回当たりの予想損失額(*)×発生頻度（回数／年）」
　で表されます。
　(*)1回当たりの予想損失額 ＝（直接損失＋間接損失＋対応費用）


>　イ　リスク分析によって評価されたリスクに対し、すべての対策が
>　　完了しないうちに、繰り返しリスク分析を実施することは避ける
>　　べきである

　情報資産、脅威、脆弱性の変化により新たなリスクへの対策が必要となる
　場合があります。


>　ウ　リスク分析は、将来の損失を防ぐことが目的であるから、過去
>　　の類似プロジェクトの経験から作成されたデータでは役に立たな
>　　い。

　過去の類似プロジェクトのデータはリスク分析に有効です。


>　エ　リスク分析は、リスクの存在と発生による損失額を知ることが
>　　目的であり、その対策に要する費用についてはリスク分析の対象
>　　から除外される。

　リスク対応費用もリスク分析のコストとして考慮しなければなりません。