情報セキュリティマネジメント 2017年 春期 午前（科目A） 問05

リスクマネジメントの原則【情報セキュリティマネジメント解説】

正解の理由

• JIS Q 31000 は「一般的なやり方」を示しますが、実際の運用は各組織に合わせて調整します。
• したがって「組織に合わせる＝カスタマイズ」が正しい原則です。

解法ステップ

1. 問題文で問われている規格（JIS Q 31000）が「リスクマネジメントの原則」を示すものだと確認する。
2. 各選択肢を「原則らしい文か」「逆のことを言っていないか」で判定する。原則は一般的で運用可能な前提を示すはず。
3. 「静的である」「単独の活動」「発生後のみを対象」という選択肢は原則としてありえないと判断する。
4. 残った「組織に合わせて作られる」が最も合致するため選ぶ（イ）。

選択肢別の誤答解説

• ア: 「リスクマネジメントは、静的であり、変化が生じたときに終了する。」
  • 誤り。JIS Q 31000はリスクマネジメントを動的（ダイナミック）なプロセスとし、環境変化や業務変化に応じて継続的に見直すべきとしています。終わるものではありません。
• イ: 組織に合わせて作られる（正解）
  • 正しい。組織の目的、規模、文化、リスク許容度に応じて、手法や適用範囲を調整することが求められます。職場ではテンプレートをベースに必要部分だけ適用・簡素化することが多いです。
• ウ: 「組織の主要なプロセスから分離した単独の活動である。」
  • 誤り。むしろ逆で、リスクマネジメントは組織の主要プロセスに統合されるべきです。業務と切り離すと実効性が下がります（例：稟議やプロジェクト計画の中で行う）。
• エ: 「リスクが顕在化した場合を対象とする。」
  • 誤り。リスクマネジメントは、リスクが顕在化する前（潜在的なリスク）からの対応を含みます。発生後だけ対応するのはインシデント対応であり、予防を含む設計とは異なります。

よくある誤解

• 「リスク管理は災害や事故が起きた後の対応だけだ」と考えること。実際は発生前の予防と軽減が重要です。
• 「会社のサイズが小さいとリスクマネジメントは不要」と思うこと。規模に応じて簡素化しても、方針や役割は必要です。
• 「テンプレートをそのまま導入すれば良い」と考えること。テンプレートは出発点で、必ず自社の実情に合わせて調整します。

補足コラム

• 統合されること：経営や業務に組み込む。
• 構造化され包括的であること：体系的に行うことで一貫性を保つ。
• 組織に合わせること（customized）：規模や文化に応じて設計する。
• 包括的（インクルーシブ）であること：関係者を巻き込み多面的に判断する。
• 動的であること：変化に応じて見直す。
• 利用可能な最良の情報に基づくこと：情報に基づき合理的に判断する。
• 人的・文化的要因を考慮すること：人の行動や組織文化を無視しない。
• 継続的に改善すること：定期的に効果を見直し改善する。

• 新しい業務システムを導入する際、プロジェクトチームが業務担当・総務・情報システムを交えてリスク洗い出しを行い、業務フローに沿って対策を決めて定期的に見直す、という流れが典型です。

FAQ