情報セキュリティマネジメント 平成29年度 秋期 午前 問7

✓ これが正解ウ 組織の情報セキュリティのリスク基準

解説

分析結果と比べるのは先に決めておいたリスク基準です。

設問が引く JIS Q 27001:2014 に従ったリスク評価は、見積もったリスクの大きさを、あらかじめ決めておいた物差しと突き合わせて、そのリスクを受け入れてよいかどうかを決める段階です。この物差しにあたるのが、組織の情報セキュリティのリスク基準です。どこまでなら受け入れられるのかを先に決めておくからこそ、見積もった大きさが基準を超えるかどうかという形で判断でき、担当者によって結論がぶれずにすみます。リスクアセスメントの流れで言えば、どんなリスクがあるかを洗い出すリスク特定、その特質を理解して大きさを決めるリスク分析、そしてその結果をリスク基準と比べて受容の可否を決めるリスク評価、という並びになり、比較の相手として置かれているのがリスク基準です。

ほかの選択肢の解説

• ア 組織の情報セキュリティインシデントシナリオ：事故がどう起きるかを描いた筋書きは、洗い出しや大きさの見積もりを助ける材料にはなりますが、受け入れてよいかを判定する物差しそのものではありません。突き合わせる相手にはなりません。
• イ …インシデント対応フロー：事故が起きたときに誰が何をするかを定めた手順は、実際の対応を回すための文書です。見積もった大きさが受け入れ可能かどうかを判定するために先に用意しておく基準とは、役割が違います。
• エ 組織の情報セキュリティリスク対応計画：受け入れられるかどうかを判断した後で、どう手を打つかをまとめるのが対応の計画です。判断の材料として先にあるものではなく判断の後に来るので、比べる相手には置けません。