平成28年春期情報セキュリティマネジメント午前問5

JIS Q 27001において、リスクを受容するプロセスに求められるものはどれか。

　ア

　受容するリスクについては、リスク所有者が承認すること

　イ

　受容するリスクをモニタリングやレビューの対象外とすること

　ウ

　リスクの受容は、リスク分析前に行うこと

　エ

　リスクを受容するかどうかは、リスク対応後に決定すること

答え　ア

【解説】
リスクマネジメントでは、方針の策定を行う「リスクマネジメント計画」、起り得るリスクの洗い出しを行う「リスク識別」、識別したリスクの重み付けを行う「定性的リスク分析」、優先リスクの詳細分析を行う「定量的リスク分析」、リスクへの対応策の決定を行う「リスク対応計画」、リスク対応の進捗を監視する「リスクの監視コントロール」のプロセスで行い、リスク発生時の影響の小さいものについては対策を行わないリスク受容を行いますが、このとき受容するリスクについては、リスク所有者が承認すること(ア)が必要です。

【キーワード】
・リスクマネジメント

キーワードの解説

リスクマネジメント(risk management)
発生(顕在化)する恐れのあるリスクを把握、特定し、そのリスクの発生頻度と影響度から評価を行い、対策を講じることです。
対策には

移転:リスクが発生した場合の責任所在を他者に移す。
回避:リスクのある事業から撤退する。
低減:リスクが発生しても被害が少なくなるような対策を取る。
保有:何もせず、発生したリスクを受け入れる。

があります。

平成28年 春期 情報セキュリティマネジメント 午前 問5

平成28年春期情報セキュリティマネジメント午前問5