脅威分析とセキュリティリスクアセスメント
リスクアセスメントにおける「定性的リスク分析」と「定量的リスク分析」の違いに関する記述として、最も適切なものはどれか。
- A定性的リスク分析は損失額や発生確率を金額や数値で厳密に算出する手法であり、定量的リスク分析は「高・中・低」などの尺度で相対的に評価する手法である
- ✓定性的リスク分析は「高・中・低」などの尺度を用いて相対的にリスクを評価する手法であり、定量的リスク分析は損失額や発生確率を金額・数値で表現して評価する手法である
- C両者は名称が異なるだけで、評価の手法や算出結果の表現形式に違いはない
- D定性的リスク分析は必ずCVSSを用いて数値を算出する手法である
解説
定性的リスク分析は「高・中・低」等の順序尺度でリスクを相対評価する手法であり、定量的リスク分析はSLE・ARO・ALEなど金額や数値でリスクを表現する手法である点が異なる。両者の説明を入れ替えた記述は誤りである。
根拠シラバス 情報セキュリティリスクアセスメント及びリスク対応に関する知識（定性的分析・定量的分析の違い）