情報セキュリティにおけるリスクマネジメントに関する記述のうち、最も適切なものはどれか。

選択肢

• ア最終責任者は、現場の情報セキュリティ管理担当者の中から選ぶ。
• イ組織の業務から切り離した単独の活動として行う。
• ウ組織の全員が役割を分担して、組織全体で取り組む。
• エ一つのマネジメントシステムの下で各部署に個別の基本方針を定め、各部署が独立して実施する。

正解と解説

正解：ウ 組織の全員が役割を分担して、組織全体で取り組む。

情報セキュリティのリスクマネジメントは、経営者が責任を持って方針を示し、全社共通の枠組みのもとで各部門・各従業員が役割を分担して継続的に取り組むものである。特定の担当者や部署に任せきりにしたり、通常業務と切り離した活動にしたりすると実効性が失われる。

選択肢ごとの解説

• ア最終責任は経営層が負うべきもので、現場担当者に委ねるのは適切でない。
• イ業務と切り離すと形骸化しやすく、日常業務に組み込んで実施すべきである。
• ウ組織全員が役割を分担し全体で取り組むという、リスクマネジメントの基本姿勢に合致する。
• エ基本方針は組織として統一するのが原則で、部署ごとにばらばらに定めるのは適切でない。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70