リスク受容で求められるのは何か、規格の流れで確認
情報セキュリティマネジメント試験 2022年 サンプル問題 問1 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)において，リスクを受容するプロセスに求められるものはどれか。
- ア
受容するリスクについては，リスク所有者が承認すること
- イ
受容するリスクを監視やレビューの対象外とすること
- ウ
リスクの受容は，リスク分析前に行うこと
- エ
リスクを受容するかどうかは，リスク対応後に決定すること
会話形式の解説
講師今回はJIS Q 27001、情報セキュリティマネジメントシステムの要求事項を定めた規格で、リスクを受容するときに何が求められるかを問う問題です。ポイントは、受容を誰が承認するのかと、受容がリスク管理の流れのどこに入るのかの二つです。
受験者受容は、特に対策をとらずにリスクを受け入れることですよね。対策をしないのなら、手続きはあまり要らない気がしていました。
講師そこが引っかかりやすいところです。先に流れを確認しましょう。リスクを特定し、分析・評価して、その結果をもとに対応を決めます。受容は、この対応を決める段階で選ぶ方法の一つです。
受験者そうすると、受容をリスク分析の前に行うという選択肢は、順番が逆ということですか。
講師そのとおりです。受容するかどうかは、リスク分析の結果と、どこまでなら受け入れてよいかを決めたリスク受容基準をもとに判断します。分析する前では、判断する材料がありません。
受験者では、リスク対応の後に受容するかどうかを決めるという選択肢はどうでしょうか。対応後に残るリスクを受け入れる、という意味なら合っている気もします。
講師迷いやすいところです。対策をとった後に残るリスクを残留リスクといいます。規格では、リスク対応計画を立てる段階で、残留リスクを受け入れるかどうかも含めて判断し、計画と残留リスクの受容についてリスク所有者の承認を得るよう求めています。対応をすべて終えてから初めて受容を決める手順ではないので、この選択肢は誤りです。
受験者リスク所有者というのは、誰のことですか。
講師そのリスクに責任を持つ人のことです。受容するリスクについてリスク所有者の承認を得ることが求められている、という点がこの問題の正解の根拠になります。
受験者残りの、受容したリスクを監視やレビューの対象外にするという選択肢は、受け入れたのだからもう見なくてよい、という考え方ですね。
講師はい、そこが誤りです。リスクは新しく生まれたり、変化したり、なくなったりします。受容した後も監視とレビューを続ける必要があります。受け入れたからといって、管理しなくてよいわけではありません。
受験者整理すると、受容は分析と評価の結果と受容基準をもとに対応計画の段階で判断し、リスク所有者が承認して、その後も監視とレビューを続ける、ということですね。
講師よく整理できています。補足すると、受容はリスク保有とも呼ばれ、発生頻度が低く損害も小さい場合や、対策の費用が想定される損害額を上回る場合に選ばれます。また、出題後に規格はJIS Q 27001:2023に改正されましたが、リスク所有者の承認を求める考え方は改正後も同じです。
まとめ
JIS Q 27001では、リスク対応計画と残留リスクの受容について、そのリスクに責任を持つリスク所有者の承認を得ることが求められます。受容するかどうかは、リスク分析の結果とリスク受容基準をもとに、リスク対応計画の段階で判断します。そのため、分析の前に受容を決めることも、対応をすべて終えてから初めて受容を決めることも誤りです。受容したリスクも、変化に備えて監視とレビューを続ける対象になります。なお、規格はJIS Q 27001:2023に改正されましたが、リスク所有者の承認を求める考え方は変わっていません。
解答・解説
正解はアです
この問題のテーマ
JIS Q 27001:2014で、リスクを受容するときに何が求められるかを問う問題です。特に、受容を誰が承認するのかがポイントです。
解き方の考え方
まず、リスク対応の流れを確認します。リスクを特定して分析・評価し、その結果をもとに対応を決めるという順番です。受容は、この中の「対応方法の一つ」です。この流れに沿って各選択肢を見ると、順番がおかしいものや、受容した後の扱いが誤っているものを外せます。残るのは、規格が求める「リスク所有者による承認」を述べた選択肢です。
選択肢ごとの解説
- ○ア 受容するリスクについては，リスク所有者が承認することリスク所有者による承認を求めるアの説明は、規格の要求事項と合っています。JIS Q 27001:2014は、リスク対応計画と残留リスクの受容について、リスク所有者の承認を得るよう求めています。リスク所有者とは、そのリスクに責任を持つ人のことです。責任者が自分で判断して受け入れるという仕組みになっています。
- ×イ 受容するリスクを監視やレビューの対象外とすること受容したリスクを監視やレビューの対象から外すというイの説明は誤りです。リスクは新しく生まれたり、変化したり、なくなったりします。そのため、受容した後も監視とレビューを続ける必要があります。受け入れたからといって、管理しなくてよいわけではありません。
- ×ウ リスクの受容は，リスク分析前に行うこと受容をリスク分析の前に行うというウの説明は、順番が逆です。受容するかどうかは、リスク分析の結果とリスク受容基準をもとに決めます。分析する前の段階では、受け入れてよいかどうかを判断する材料がありません。
- ×エ リスクを受容するかどうかは，リスク対応後に決定すること受容するかどうかをリスク対応の後に決めるというエの説明は誤りです。受容は、リスク対応のプロセスの中で選ぶ対応方法の一つです。対応をすべて終えてから初めて決めるものではありません。
補足
リスク受容（リスク保有）は、特別な対策をとらずにリスクを受け入れる方法です。発生する頻度が低く損害も小さい場合や、対策にかかる費用が想定される損害額を上回る場合に選ばれます。「受け入れたリスクは管理しなくてよい」と考えるのは、よくある引っかけなので注意しましょう。
※この問題が出題された後、規格はJIS Q 27001:2023に改正されました（ISO/IEC 27001:2022に対応）。リスク対応計画と残留リスクの受容について、リスク所有者の承認を求めるという考え方は、改正後の規格でも同じです。
POINT
- JIS Q 27001では、リスク対応計画と残留リスクの受容について、リスク所有者の承認が必要です。
- リスク所有者とは、そのリスクに責任を持つ人のことです。
- 受容するかどうかは、リスク分析の結果とリスク受容基準をもとに、リスク対応の中で決めます。
- 受容したリスクも、監視とレビューを続ける対象になります。