情報セキュリティマネジメント 令和元年度 秋期 午前 問3

✓ これが正解ア 受容するリスクについては，リスク所有者が承認すること

解説

受容するリスクはリスク所有者の承認が求められます。

設問が引いているのは JIS Q 27001:2014 の要求事項です。リスクを受け入れる（受容する）という判断は、そのリスクについて責任と権限をもつ人、つまりリスク所有者が承認しなければならないとされています。担当者が独断で受け入れてよいと決められるものではありません。受容は、リスクを分析して評価したうえで選ぶリスク対応の選択肢の一つであり、承認という手続を通すことで、誰が責任をもってその判断をしたのかが残ります。

ほかの選択肢の解説

• イ 受容するリスクを監視やレビューの対象外とすること：受け入れると決めたリスクも、状況が変われば大きさが変わります。監視やレビューの対象から外してよいわけではなく、引き続き見ていく必要があるので、この記述は求められるものとは逆です。
• ウ リスクの受容は，リスク分析前に行うこと：リスクの大きさが分からないうちに受け入れるかどうかは決められません。受容の判断は分析より前ではなく、リスクを分析して評価したあとに行うものなので、この記述は当てはまりません。
• エ リスクを受容するかどうかは，リスク対応後に決定すること：対応をすべて終えてから受容するかを決めるという順序ではありません。受容そのものがリスクへの対応の選択肢の一つとして扱われるので、対応後に決定するとするこの記述は手順が合いません。