JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)において、リスクを受容するプロセスに求められるものはどれか。

選択肢

• ア受容するリスクについては、リスク所有者が承認すること
• イ受容するリスクを監視やレビューの対象外とすること
• ウリスクの受容は、リスク分析前に行うこと
• エリスクを受容するかどうかは、リスク対応後に決定すること

正解と解説

正解：ア 受容するリスクについては、リスク所有者が承認すること

ISMSではリスク対応後に残る残留リスクを受容するかどうかを判断するが、その承認はリスク所有者(リスクを管理する責任と権限をもつ者)が行うことが求められる。担当者の判断で勝手に受容するのではなく、責任者が明示的に承認する点が要求事項の要である。受容したリスクも監視・レビューの対象から外れるわけではない。

選択肢ごとの解説

• ア正しい。残留リスクの受容はリスク所有者の承認を得ることが要求されている。
• イ受容したリスクも状況変化に備えて監視・レビューを継続する必要がある。
• ウ受容の判断はリスク分析・評価の結果を踏まえて行うもので、分析前には決められない。
• エ受容の可否はリスク対応の選択肢の一つとして検討され、対応後の残留リスクについても改めて承認する。

同じ分野の他の問題

• 情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち、適切なものはどれか。2026年度 公開問題 科目A・B 問1
• A社は従業員300名のITサービス企業であり、ヘルプデスク業務のアウトソーシングサービスを提供している。A社はオンプレミ…2025年度 公開問題 科目A・B 問13
• JIS Q 31000:2019（リスクマネジメントー指針）におけるリスクマネジメントプロセスに関する記述のうち、適切な…2025年度 公開問題 科目A・B 問1
• JIS Q 31000:2019（リスクマネジメントー指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか…2024年度 公開問題 科目A・B 問1
• A社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では，次の“情報セ…2023年度 公開問題 科目A・B 問13