情報セキュリティマネジメント 2016年 春期 午前（科目A） 問05

リスク受容の承認【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文でキーワード「JIS Q 27001」「リスクを受容するプロセス」を確認する。
2. 規格の趣旨を思い出す：リスク対応には責任者の決定と文書化が必要。
3. 選択肢を一つずつ検証する：
   • 誰が決めるか（所有者が承認）か？
   • 受容したリスクを監視から外すか？（規格上ありえない）
   • 受容のタイミングが前か後か？（分析前や対応後ではない）
4. 最も規格に合致するものを選ぶ（→ ア）。

選択肢別の誤答解説

• ア：正解。リスク受容はリスク所有者が承認し、記録することが求められる。承認により責任が明確化され、後の説明や対応判断がしやすくなる。
• イ：誤り。受容したリスクであっても、完全に監視やレビューの対象外にすることは推奨されない。受容は恒久的な放棄ではなく、状況変化時の見直し対象となる。規格は継続的なモニタリングを求める。
• ウ：誤り。リスク受容はリスクの分析・評価を行った後に判断する。分析前に受容してしまうと、どの程度のリスクか分からないまま判断することになり不適切。
• エ：誤り。リスク対応（回避・低減・移転など）を行った後に初めて受容を決める、という意味合いは誤解を招く。通常、リスク評価の結果に基づき、対応の必要性や受容を決定する。対応が完了した後に受容を決めるという限定的な順序は規格の趣旨と一致しない。

よくある誤解

1. 「受容＝放置」と考える誤解：受容は判断と責任の明確化であり、文書化や見直し、条件付きでの監視が伴います。
2. 「受容は現場の誰でもできる」と思う誤解：重要なリスクは必ずリスク所有者（あるいは上位の承認者）が決める必要があります。誰が責任を持つかが鍵です。
3. 「一度受容したら永続的」と考える誤解：業務・技術・外部環境が変われば再評価して見直す必要があります。

補足コラム

• リスク所有者（リスクオーナー）とは：特定の資産や業務に関するリスクに対して意思決定権と責任を持つ人です。英語では"risk owner"と言います。現場責任者や部門長が当たることが多いです。
• 実務での運用イメージ：リスクアセスメント（リスクの洗い出し・評価）を行い、残るリスク（残余リスク）について「受容する」と判断した場合、リスクレジスター（リスク台帳）に「受容」理由、承認者、見直し時期を記録します。これにより後で問われたときに説明できます。
• リスク受容とリスクトレランス／リスクアペタイト：組織が許容できるリスクの大きさ（リスクトレランス）や、どの程度受け入れるかの方針（リスクアペタイト：英語risk appetite）を事前に定めておくと、個別判断がぶれません。

FAQ