サンプル問題(2022年12月) 問1|リスク対応(回避・低減・移転・保有)
JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)において,リスクを受容するプロセスに求められるものはどれか。
正解:ア 受容するリスクについては,リスク所有者が承認すること
ポイント
リスクを受容するプロセスに求められることを問う問題です。
考え方と解き方
リスクの受容は、リスク所有者が承認します。受容したリスクも、見続ける対象です。受容は、リスク分析の前に行うものではありません。
- 受容するリスクについては、リスク所有者が承認することが求められます。
- 他の記述は、承認の求めや、受容の順序と合いません。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 受容したリスクも、監視やレビューの対象に含めます。対象外にはしません。
- ウ リスクの受容は、リスク分析の結果を受けて判断します。分析の前には行えません。
- エ リスク保有(受容)は、リスク対応の選択肢の1つです。リスク対応が終わってから、初めて決めるものとする点が、求められる内容と合いません。
覚えておくこと
- リスクを受容する時は、リスク所有者が承認する
- リスク保有(受容):受容できる時や、費用が損害額を上回る時は、対策せず現状を維持
(テーマ・覚えること)
出典:情報セキュリティマネジメント試験 サンプル問題 科目A 問1