情報セキュリティマネジメント 平成28年度 春期 午前 問5

✓ これが正解ア 受容するリスクについては，リスク所有者が承認すること

解説

リスクを受け入れる判断はリスク所有者の承認が必要です。

リスクを受け入れること（リスク受容）は、放っておくことと同じではありません。この大きさなら抱えてよいと誰かが責任をもって判断し、それを認める手続を踏むところまでが一組になります。設問が引いているのは、ISMSの要求事項をまとめたJIS Q 27001です。出題当時のこの規格は、受け入れると決めたリスクについて、リスク所有者が承認することを求めていました。リスク所有者とは、そのリスクを運用管理することについて権限と責任をもつ人や主体のことです。担当者が一人で抱え込むのではなく、権限をもつ立場の承認を通すことで、誰の責任でその判断がなされたのかが後から辿れる形になります。

ほかの選択肢の解説

• イ 受容するリスクをモニタリングやレビューの対象外とすること：いったん受け入れたリスクでも、事業や環境が動けば大きさは変わります。だからモニタリングやレビューの枠から外すのではなく、その後も見続けることが必要な側であり、この記述は向きが反対になっています。
• ウ リスクの受容は，リスク分析前に行うこと：どれほどの大きさなのか分からないうちに、抱えてよいかどうかは決められません。分析より前に置くというこの順序では、判断の材料がそろわないまま結論を出すことになってしまいます。
• エ リスクを受容するかどうかは，リスク対応後に決定すること：抱えるという選び方そのものが、リスク対応として取り得る道の一つです。ほかの手立てをすべて終えてから改めて決めるという段取りではないため、この記述は位置づけを取り違えています。