資訊安全基礎
某資訊系統中,估計一旦發生就會造成2000萬日圓損失的事故,每年發生0.1次。若實施每年費用50萬日圓的對策,發生頻率可降為每年0.02次。此對策每年的淨效益(損失期望值的減少額減去對策費用)是多少?
- A150萬日圓
- B160萬日圓
- C110萬日圓
查看答案與解析
正確答案:C. 110萬日圓
風險的大小可以用每次損失金額乘以發生頻率所得的每年損失期望值(年度預期損失)來比較。對策前為 2000萬日圓 × 0.1次/年 = 200萬日圓/年,對策後為 2000萬日圓 × 0.02次/年 = 40萬日圓/年。損失期望值減少 200萬日圓 − 40萬日圓 = 160萬日圓,再扣除對策費用50萬日圓,淨效益為 160萬日圓 − 50萬日圓 = 110萬日圓。淨效益為正,因此可判斷此對策值得其費用。不過,只看期望值可能會低估很少發生但一發生就致命的事故,因此也要一併考量影響的大小。
- A. 這是由對策前的損失期望值200萬日圓減去對策費用50萬日圓所得的值,沒有考慮對策後仍殘留的40萬日圓期望值。
- B. 這是損失期望值的減少額,沒有扣除對策費用50萬日圓。
- C. 正確。損失期望值減少160萬日圓,扣除對策費用50萬日圓後為110萬日圓。