リスクを受容するプロセスに求められるもの｜情報セキュリティマネジメント 令和元年 秋期午前試験 問3
出典：令和元年秋期 午前 問3
分野：セキュリティ ／ 情報セキュリティ対策
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，リスクを受容するプロセスに求められるものはどれか。
- ア：受容するリスクについては，リスク所有者が承認すること
- イ：受容するリスクを監視やレビューの対象外とすること
- ウ：リスクの受容は，リスク分析前に行うこと
- エ：リスクを受容するかどうかは，リスク対応後に決定すること
TSUNAGARU-ADVICE
まず押さえたいこと
JIS Q 27001では、リスク対応を行った結果として残るリスクについて、そのリスクを受容する場合はリスク所有者の承認を得ることが求められます。現場担当者だけの判断で受容するのではなく、そのリスクに責任をもつ者が承認する点が重要です。
迷ったときの判断軸
リスク受容は「何もしない」という意味ではありません。まずリスクを特定・分析・評価し、必要な対応を検討した上で、残るリスクを受け入れられるか判断します。また、受容したリスクも監視やレビューの対象から外れるわけではありません。状況が変われば再評価が必要です。
科目Bにつなげるために
科目Bでは、対策後にも残るリスクについて、誰が承認するのか、受容後も継続して監視するのかが問われることがあります。リスク対応とリスク受容を分けて考え、残留リスクには責任者の承認と継続的な見直しが必要だと押さえておきましょう。
JIS Q 27001:2014では、情報セキュリティリスクへの対応を行った後に残るリスクなどについて、そのリスクを受容する場合は、リスク所有者の承認を得ることが求められます。
本問では、「リスクを受容するプロセスに求められるもの」という点が判断のポイントです。リスクを受容するかどうかは、組織として勝手に決めるのではなく、責任をもつリスク所有者が承認する必要があるため、アが適切です。
❌他選択肢が誤りの理由イ：受容するリスクを監視やレビューの対象外とすること
⇒受容したリスクであっても、状況の変化によって影響や発生可能性が変わるため、必要に応じて監視やレビューの対象となります。受容したからといって、以後の管理が不要になるわけではありません。
ウ：リスクの受容は，リスク分析前に行うこと
⇒リスク受容の判断は、リスクを特定・分析・評価した上で行います。リスクの大きさや影響を把握する前に受容を決めるものではありません。
エ：リスクを受容するかどうかは，リスク対応後に決定すること
⇒リスク対応の選択肢には、リスクの低減だけでなく、リスクの回避・移転・受容などがあります。そのため、リスク受容を必ずリスク対応後にだけ決定するという説明は適切ではありません。