情報セキュリティマネジメント 平成29年度 春期 午前 問5

✓ これが正解イ リスクマネジメントは，組織に合わせて作られる。

解説

組織に合わせて作り込むことが原則に挙がっています。

設問が引くのは、リスクマネジメントの原則と指針をまとめた JIS Q 31000:2010 です。ここでいう原則は、リスクマネジメントを形だけで終わらせず効果のあるものにするために、組織が守るとよい心構えを並べたものです。組織が置かれている状況も、抱えているリスクの姿も、組織ごとに違います。だから、よそのやり方をそのまま持ち込むのではなく、その組織の状況とリスクに合わせて作り込む必要があります。リスクマネジメントは組織に合わせて作られるという記述は、この考え方をそのまま述べた原則です。残りの三つは、いずれも原則が示している向きと逆を述べています。

ほかの選択肢の解説

• ア リスクマネジメントは，静的であり，変化が生じたときに終了する。：変化が起きたところで終わるという書き方は、一度整えれば済むという発想です。組織を取り巻く状況は絶えず動くので、その動きを捉えて繰り返し見直し続けることが求められます。
• ウ …の主要なプロセスから分離した単独の活動である。：主要な業務から切り離した単独の活動として置くと、日々の意思決定に反映されないまま形だけが残ります。運営の中に組み込んで働かせることこそが求められている姿です。
• エ リスクマネジメントは，リスクが顕在化した場合を対象とする。：リスクが現実になった場合だけを扱うという書き方は、起きてから動く発想です。まだ起きていないものを見積もって先に手を打てるところに、この活動の値打ちがあります。