情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問03

リスク受容の承認【情報セキュリティマネジメント解説】

正解の理由

• リスク所有者は対象資産や業務に対する責任者であり、受容の可否を判断する立場です。
• 受容は決定だけでなく「記録」や「監視の仕組み」も伴います。

解法ステップ

1. 問題が「リスクを受容するプロセスに求められるもの」を問うていると把握する。
2. キーワードに注目する：リスク受容（判断・承認・監視・手順など）。
3. 各選択肢を「規格や実務で求められるか？」で検討する。
   • 誰が最終判断するのか＝責任者（リスク所有者）の承認が必要かを優先して考える。
4. それに合致する選択肢を選ぶ（ア が該当）。

選択肢別の誤答解説

• ア：正しい。受容（risk acceptance）は、リスクに対して責任を持つ者（リスク所有者）が承認することが求められるため、規格の趣旨に合致します。
• イ：誤り。受容したリスクを監視やレビューの対象外とすることは規格に反します。受容しても残留リスク（residual risk：対策後に残るリスク）は継続的に監視・レビューし、状況変化に応じて見直す必要があります。
• ウ：誤り。リスクの受容をリスク分析（リスクアセスメント：リスクの特定・評価）より前に行うのは不適切です。どの程度のリスクかを把握した上で、どのリスクを受容するか判断します。
• エ：誤り。リスク対応（リスクトリートメント：対策の選択と実施）後にのみ受容を決定する、という一方的な制約は誤りです。実務ではリスク評価結果を踏まえて受容を判断しますし、場合によっては対応前に受容を決めること（例：影響が小さくコストが見合わない場合）もあります。重要なのは「責任者の承認」と「記録・監視」が伴うことです。

よくある誤解

1. 「受容＝放置」と思い込む
   • 誤解です。受容は意図的な判断です。受容したリスクも記録し、継続的に監視します。例：小額の損失リスクは受容するが、定期的に発生頻度を監視する、など。
2. 「リスク所有者＝社長だけ」と考える
   • リスク所有者は必ずしも経営トップではありません。業務や資産に責任を持つ担当者（部門長やプロジェクト責任者）であることが多いです。重要なのは権限と責任が明確であることです。
3. 「受容は口頭で済む」と思う
   • 実務では文書（リスクレジスター等）で記録し、誰がいつ承認したかを明確にしておく必要があります。後で見直すためです。

補足コラム

• リスク評価を行い、リスク一覧（リスクレジスター）を作成します。リスクごとに想定される影響と発生確率を評価します（これがリスクアセスメント）。
• 各リスクに対して「対応」（回避・移転・軽減・受容）を検討します。受容を選ぶ場合は、なぜ受容するのか（影響が小さい、対策費用が高すぎる等）を記載し、リスク所有者の承認を得ます。
• 受容したリスクは定期的に監視し、環境や業務の変化で条件が変われば再検討します。これがPDCA（Plan-Do-Check-Act）の流れです。

• リスクアセスメント（risk assessment：リスクの特定・分析・評価）
• リスク所有者（risk owner：そのリスクに対する意思決定と管理責任を持つ人）
• リスク対応（risk treatment：リスクに対する対策の選択と実施）
• 残留リスク（residual risk：対策後に残ったリスク）
• リスクレジスター（risk register：リスクを一覧・記録する表）

FAQ