問3 リスク受容とリスク所有者の承認

情報セキュリティ​マネジメント試験 令和元年度 秋期 午前、全50問のうちの問3。

出典:令和元年度 秋期 情報セキュリティマネジメント試験 午前 問3

JIS Q 2⁠7⁠0⁠0⁠1:2⁠0⁠1⁠4(情報セキュリティ​マネジメントシステム-要求事項)において,リスクを受容するプロセスに求められるものはどれか。

  1. ア受容するリスクについては,リスク所有者が承認すること
  2. イ受容するリスクを監視やレビューの対象外とすること
  3. ウリスクの受容は,リスク分析前に行うこと
  4. エリスクを受容するかどうかは,リスク対応後に決定すること
答えと解説を開く

正解はアです。

リスク所有者は、そのリスクを管理する責任と権限を持つ人です。どのリスクにどう対応するかを決めると、対策を取っても残るリスクや、対策を取らずに受け入れるリスクが出てきます。これを組織として受け入れてよいかは、担当者が勝手に決めず、責任を持つリスク所有者が承認します。JIS Q 2⁠7⁠0⁠0⁠1 は、リスク対応の計画と残留リスクの受容について、リスク所有者の承認を得ることを求めています。正解はアです。

ほかの選択肢が違う理由

  • イ受け入れたリスクも、状況が変われば大きくなることがあります。監視やレビューの対象から外さず、定期的に見直します。
  • ウリスクを受け入れるかどうかは、リスクを分析し、評価して大きさを知ってから決めます。分析の前には判断できません。
  • エリスクを受け入れるかどうかは、リスク評価で受容基準と比べたり、リスク対応の選択肢の一つ (保有) として選んだりする中で決めます。リスク対応を終えてから決めるという決まりではありません。

仕組み

リスクの受容 (保有) は「何もしない」ことではなく、「このリスクは受け入れる」と責任者が決めて記録することです。だれが受け入れたかが分かるよう、承認を残します。

リスクアセスメントの前に、どこまでなら受け入れるかの基準 (リスク受容基準) を決めておきます。評価の結果をこの基準と比べることで、受け入れるか対応するかを一貫して判断できます。