30.下列关于风险评估说法正确的是( )

这道题考查的是信息安全或项目管理中**风险评估（Risk Assessment）**的基本流程和概念。我们需要根据 ISO/IEC 27005 或 GB/T 20984 等标准中的定义来分析各个选项。 ### 详细解析： **1. 分析选项 A：** * **内容**：“在风险评估时风险识别不是特别重要,个别风险当时没有被识别出来,在以后的分析中以再次评估” * **判断**：**错误**。 * **理由**：风险识别是风险评估的第一步，也是至关重要的一步。如果风险没有被识别出来，后续的风险分析、评价和处置都无法进行，这将导致巨大的安全盲区。虽然风险评估是一个动态过程，可以定期重新评估，但不能因此认为初始识别“不是特别重要”。 **2. 分析选项 B：** * **内容**：“风险识别是风险评估和风险处置决策的基础” * **判断**：**表述不准确/片面**（在此题语境下通常不选，因为 C 的定义更为精准且符合标准术语）。 * **理由**：虽然风险识别确实是基础，但整个**风险评估**过程包括风险识别、风险分析和风险评价三个主要阶段。风险处置决策是基于**风险评价**的结果（即风险是否可接受）做出的，而不仅仅是基于风险识别。此外，相较于 C 选项对核心概念“风险评价”的精准定义，B 选项更多是在描述一种关系，且在单选题中，C 选项是对标准定义的直接复述，优先级更高。*(注：在某些宽松语境下 B 可能被视为正确陈述，但在考察标准定义的题目中，C 是对于“风险评价”这一特定术语的标准解释，而题目问的是关于风险评估说法的正确性，C 选项准确描述了风险评估中关键环节的定义)*。 * *更深层的逻辑*：通常这类题目旨在考察对“风险分析”与“风险评价”区别的理解。B 选项虽然大方向没错，但不如 C 选项针对具体流程环节的定义具有考点针对性。 **3. 分析选项 C：** * **内容**：“风险评价是把风险分析的结果与风险准则进行对比,确定风险及其等级是不是可以接受者是可容忍的” * **判断**：**正确**。 * **理由**：这是**风险评价（Risk Evaluation）**的标准定义。 * **风险分析（Risk Analysis）**：理解风险性质、确定风险等级的过程（通常涉及可能性和影响程度的计算）。 * **风险评价（Risk Evaluation）**：将**风险分析的结果**与预先设定的**风险准则（Risk Criteria）**进行比较，以决定风险是否可接受或可容忍的过程。 * 该选项准确描述了输入（风险分析结果）、依据（风险准则）和输出（是否可接受/可容忍）。 **4. 分析选项 D：** * **内容**：“风险评价是把风险识别的结果与风险准则进行对比,确定风险及其等级是不是可以接受者是可容忍的” * **判断**：**错误**。 * **理由**：风险评价对比的不是“风险识别的结果”，而是**“风险分析的结果”**。 * 风险识别仅列出了有哪些风险源、事件和后果。 * 必须经过**风险分析**，量化或定性评估出风险的大小（等级）后，才能拿着这个“等级”去和风险准则做对比。跳过分析直接对比识别结果是无法确定风险等级的。 ### 总结： * **A 错**：风险识别非常重要。 * **B 不够精准**：虽然识别是基础，但本题核心考点在于区分“风险分析”和“风险评价”的输入输出关系。 * **C 对**：准确定义了风险评价的过程（分析结果 vs 风险准则）。 * **D 错**：混淆了输入源，应该是“风险分析结果”而非“风险识别结果”。 因此，正确答案是 **C**。