JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に従ったリスク評価において，情報セキュリティリスクが受容可能か否かの意思決定を行う際に，リスク分析結果と比較するものはどれか。

選択肢

• ア組織の情報セキュリティインシデントシナリオ
• イ組織の情報セキュリティのインシデント対応フロー
• ウ組織の情報セキュリティのリスク基準
• エ組織の情報セキュリティリスク対応計画

正解と解説

正解：ウ 組織の情報セキュリティのリスク基準

リスク評価では、リスク分析で求めたリスクレベルを、あらかじめ定めたリスク基準（リスク受容基準やリスクアセスメントの実施基準）と比較する。この比較によって、受容できるか、対応が必要かの意思決定と優先順位付けを行う。

選択肢ごとの解説

• アインシデントシナリオは分析の過程で用いる想定であり、受容可否の判断基準ではない。
• イインシデント対応フローは発生後の手順であり、評価の基準にはならない。
• ウ正しい。リスク分析結果をリスク基準と比較して受容可否を判断する。
• エリスク対応計画は評価の結果を受けて作るものであり、比較の対象ではない。

同じ分野の他の問題

• 情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち、適切なものはどれか。2026年度 公開問題 科目A・B 問1
• A社は従業員300名のITサービス企業であり、ヘルプデスク業務のアウトソーシングサービスを提供している。A社はオンプレミ…2025年度 公開問題 科目A・B 問13
• JIS Q 31000:2019（リスクマネジメントー指針）におけるリスクマネジメントプロセスに関する記述のうち、適切な…2025年度 公開問題 科目A・B 問1
• JIS Q 31000:2019（リスクマネジメントー指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか…2024年度 公開問題 科目A・B 問1
• A社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では，次の“情報セ…2023年度 公開問題 科目A・B 問13