システム監査・内部統制｜平成30年度 秋期 情報セキュリティマネジメント試験 午前 問37

• USBメモリの使用を，定められた手順に従って許可していた。
• 個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
• マルウェアスキャンでスパイウェアが検知され，駆除されていた。
• ✓ これが正解リスクアセスメントを実施した後に，リスク受容基準を決めた。

解説

リスク受容基準はリスクアセスメントの前に定めておくべきものです。

設問が引くJIS Q 27001:2014のISMSでは、リスクアセスメントのプロセスを定める段階で、どこまでのリスクなら受け容れるかというリスク受容基準をあらかじめ確立しておくことが求められます。この物差しが先に無いと、アセスメントで洗い出したリスクを評価して、対応が要るかどうかを判断できないからです。リスクアセスメントを実施した後にリスク受容基準を決めたという状況は、この順序が逆になっており要求事項に適合しません。だから内部監査の指摘事項として監査報告書に記載すべきものに当たります。残りの三つは、ルールどおりの運用や対策が機能した結果であり、指摘には当たりません。

ほかの選択肢はなぜ違うのか

• USBメモリの使用を定められた手順に従って許可していたのは、決められたルールが守られて運用できている姿です。要求事項や規定からの逸脱がないので、監査人が指摘する不適合には当たりません。
• 個人情報の誤廃棄事故を主務官庁などへ規定されたとおりに報告していたことは、事故対応の手続が守られていた証拠です。事故が起きたこと自体は残念でも、監査で指摘すべき逸脱ではありません。
• マルウェアスキャンでスパイウェアが検知され駆除されていたのは、導入した対策が狙いどおりに機能した結果です。管理策が働いている状況であり、指摘事項として報告する話ではありません。

この問題に関係する言葉

• ISMS情報を守る取り組みを、決めて実行し点検して直す流れとして続ける仕組み。個々の対策ではなく、その回し方のことです。
• 内部監査組織が自分たちの仕組みを、業務の担当から離れた立場の者が点検すること。結果は改善のための見直しに使われます。
• リスクアセスメントリスクを洗い出し（特定）、大きさを見積もり（分析）、対応の優先順位を決める（評価）までの一連の作業を指します。
• リスク受容リスクを分かったうえで、対応せずそのまま残すと決めること。受け入れてよい基準はリスクアセスメントの前に定めておき、受容そのものはリスク所有者が承認します。

出題当時の情報です（現在との違い）

設問が示す JIS Q 27001:2014 は2023年版に置き換わっています。正解は変わらないとみられます。

出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問37

この問題を演習で解く

同じ単元をまとめて解くならシステム監査・内部統制へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）