ISMS用語の定義 リスクの説明責任と権限をもつ主体とは
情報セキュリティマネジメント試験 平成31年度春期 午前 問7 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JIS Q 27000:2014(情報セキュリティマネジメントシステム－用語)では，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体を何と呼んでいるか。
- ア
監査員
- イ
トップマネジメント
- ウ
利害関係者
- エ
リスク所有者
会話形式の解説
講師今回はJIS Q 27000という、ISMS（情報セキュリティマネジメントシステム）の用語を定めた規格の問題です。問題文の「リスクを運用管理する」と「アカウンタビリティ及び権限をもつ」という2つの条件に注目してください。
受験者アカウンタビリティは説明責任のことですよね。責任と権限をもつと聞くと、組織のいちばん上に立つトップマネジメントのように思えて迷いました。
講師そこで迷う人は多いです。トップマネジメントは、最高位で組織を指揮し、管理する個人や人々の集まりのことです。組織全体の方針や経営に責任を負う立場で、リスクを運用管理する主体を指す用語ではありません。
受験者実際の会社では、社長がリスクの管理まで担当することもありそうですが、それでもトップマネジメントは違うのですか。
講師トップマネジメントがリスク所有者を兼ねる場合は実際にあります。ただ、問題は用語の定義を聞いているので、定義が問題文と一致するかで判断します。リスク所有者は、まさに「リスクを運用管理することについてアカウンタビリティと権限をもつ人や主体」と定義されています。
受験者名前にリスクが入っているので選びやすいですが、定義の中身で一致を確かめるのが大事なのですね。利害関係者も、リスクに関係しそうな言葉に見えました。
講師利害関係者は、ある決定や活動に影響を与え得る、影響を受け得る、または影響を受けると認識している人や組織のことです。影響との関係で決まる概念なので、リスクを管理する責任や権限をもつとは限りません。
受験者監査員は、ISMSを監査して結果を報告する人なので、リスクへの対応を決めたり実行したりする立場ではない、という理解で合っていますか。
講師合っています。監査員は基準に適合しているかを評価し、その結果を監査を受けた側に報告する役割です。リスク対応を決める責任と権限はもちません。
受験者整理すると、2つの条件にそのまま当てはまるのはリスク所有者で、トップマネジメントは組織全体の指揮、利害関係者は影響の関係、監査員は評価と報告の役割ということですね。
講師そのとおりです。補足すると、リスク所有者は組織全体で一人を決めるものではなく、個々のリスクごとに割り当てます。リスク対応を決めたり、残留リスクを受け入れるかどうかを判断したりする役割です。資産を管理する「資産所有者」とは別の役割として扱われることが多いので、取り違えないようにしましょう。なお、この規格は出題後に2019年版へ改正されていますので、定義を確認するときは最新版を参照してください。
まとめ
JIS Q 27000では、リスクを運用管理することについてアカウンタビリティ（説明責任）と権限をもつ人や主体を「リスク所有者」と呼びます。トップマネジメントは最高位で組織を指揮し管理する個人や人々の集まりで、兼任することはあっても、この定義に当たる用語ではありません。利害関係者は決定や活動との影響関係で決まる概念で、監査員は基準への適合を評価して報告する役割です。リスク所有者は個々のリスクごとに割り当てられ、資産所有者とは別の役割として扱われることが多い点にも注意が必要です。
解答・解説
正解はエです
この問題のテーマ
JIS Q 27000:2014で定められた用語の問題です。リスクを運用管理することについて「アカウンタビリティ及び権限」をもつ人や主体を何と呼ぶかを問うています。
解き方の考え方
問題文の「リスクを運用管理する」と「アカウンタビリティ及び権限をもつ」の2つの条件に注目します。この2つを満たすのは、個々のリスクを受け持つ主体です。各選択肢の用語の定義を思い出し、リスクの管理を役割の中心に置いているものを選びます。名称に「リスク」を含むかどうかも手がかりになりますが、定義の中身で判断することが大切です。
選択肢ごとの解説
- ×ア 監査員監査員は、ISMSを監査して、その結果を監査を受けた側に報告する役割です。基準に適合しているかを第三者的な立場で評価する人なので、リスク対応を決めたり実行したりする責任と権限はもちません。
- ×イ トップマネジメントトップマネジメントは、最高位で組織を指揮し、管理する個人や人々の集まりのことです。組織全体の方針や経営に責任を負う立場であり、個々のリスクを運用管理する主体を指す用語ではありません。実際にはトップマネジメントがリスク所有者を兼ねる場合もありますが、問題文の定義に当たる用語ではありません。
- ×ウ 利害関係者利害関係者は、ある決定や活動に影響を与え得る人や組織、その影響を受け得る人や組織、または影響を受けると認識している人や組織のことです。影響との関係で決まる概念なので、リスクを管理する責任や権限をもつとは限りません。
- ○エ リスク所有者リスク所有者は、リスクを運用管理することについてアカウンタビリティ（説明責任）と権限をもつ人や主体と定義されています。問題文の条件と完全に一致するので、これが正解です。
補足
リスク所有者は、組織全体で一人を決めるものではなく、個々のリスクごとに割り当てられます。リスク対応を決めたり、残ったリスク（残留リスク）を受け入れるかどうかを判断したりする役割を担います。資産を管理する「資産所有者」とは別の役割として扱われることが多いので、取り違えないよう注意してください。
※JIS Q 27000は、この問題の出題後に改正されています（JIS Q 27000:2019）。用語の定義を確認するときは、最新版の規格を参照してください。なお、「リスク所有者」という考え方は、現行のISMS要求事項でもリスク評価やリスク対応の場面で引き続き使われています。
POINT
- リスク所有者とは、リスクを運用管理することについてアカウンタビリティと権限をもつ人や主体のことです。
- アカウンタビリティは説明責任を意味し、リスク所有者には責任と権限の両方がそろっている必要があります。
- トップマネジメントは、最高位で組織を指揮し、管理する個人や人々の集まりを指します。
- 利害関係者は、決定や活動に影響を与え得る人や組織、影響を受け得る人や組織、または影響を受けると認識する人や組織を指します。