情報セキュリティマネジメント 平成30年度 秋期 午前 問37

✓ これが正解エ リスクアセスメントを実施した後に，リスク受容基準を決めた。

解説

リスク受容基準はリスクアセスメントの前に定めておくべきものです。

設問が引くJIS Q 27001:2014のISMSでは、リスクアセスメントのプロセスを定める段階で、どこまでのリスクなら受け容れるかというリスク受容基準をあらかじめ確立しておくことが求められます。この物差しが先にないと、アセスメントで洗い出したリスクを評価して、対応が必要かどうかを判断できないからです。リスクアセスメントを実施した後にリスク受容基準を決めたという状況は、この順序が逆になっており要求事項に適合しません。だから内部監査の指摘事項として監査報告書に記載すべきものに当たります。残りの三つは、ルールどおりの運用や対策が機能した結果であり、指摘には当たりません。

ほかの選択肢の解説

• ア USBメモリの使用を，定められた手順に従って許可していた。：USBメモリの使用を定められた手順に従って許可していたのは、決められたルールが守られて運用できている姿です。要求事項や規定からの逸脱がないので、監査人が指摘する不適合には当たりません。
• イ 個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。：個人情報の誤廃棄事故を主務官庁などへ規定されたとおりに報告していたことは、事故対応の手続が守られていた証拠です。事故が起きたこと自体は残念でも、監査で指摘すべき逸脱ではありません。
• ウ マルウェアスキャンでスパイウェアが検知され，駆除されていた。：マルウェアスキャンでスパイウェアが検知され駆除されていたのは、導入した対策が狙いどおりに機能した結果です。管理策が働いている状況であり、指摘事項として報告する話ではありません。