JIS Q 27001:2014（情報セキュリティマネジメントシステム-要求事項）において、リスクを受容するプロセスに求められるものはどれか。

選択肢

• ア受容するリスクについては、リスク所有者が承認すること
• イ受容するリスクを監視やレビューの対象外とすること
• ウリスクの受容は、リスク分析前に行うこと
• エリスクを受容するかどうかは、リスク対応後に決定すること

正解と解説

正解：ア 受容するリスクについては、リスク所有者が承認すること

ISMSではリスク対応の結果として残る残留リスクを受け入れる際、その責任を負うリスク所有者が承認することを求めている。リスクを受け入れる判断は組織の資源配分に関わるため、実務担当者ではなく責任と権限をもつ者が行う必要があるからである。受容後もリスクは消滅しないので監視とレビューは継続し、受容の判断はリスクアセスメント（特定・分析・評価）を経た上で行う。

選択肢ごとの解説

• ア正解。残留リスクの受容はリスク所有者の承認事項とされ、責任の所在を明確にする。
• イ受容したリスクも状況変化で顕在化しうるため、監視とレビューの対象から外してはならない。
• ウ分析前に受容を決めると大きさが分からないまま受け入れることになり、順序が逆である。
• エ受容は残留リスクに対する判断であると同時に、リスク対応の選択肢の一つでもあり、この言い方は定義として不正確。

同じ分野の他の問題

• 情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち、適切なものはどれか。2026年度 公開問題 科目A・B 問1
• A社は従業員300名のITサービス企業であり、ヘルプデスク業務のアウトソーシングサービスを提供している。A社はオンプレミ…2025年度 公開問題 科目A・B 問13
• JIS Q 31000:2019（リスクマネジメントー指針）におけるリスクマネジメントプロセスに関する記述のうち、適切な…2025年度 公開問題 科目A・B 問1
• JIS Q 31000:2019（リスクマネジメントー指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか…2024年度 公開問題 科目A・B 問1
• A社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では，次の“情報セ…2023年度 公開問題 科目A・B 問13