応用情報技術者試験 応用情報技術者試験 令和4年度秋期 午前 問58: JIS Q 27001:2014（情報セキュリティマネジメントシステム−要求事項）に基づいて ISMS 内部監査を行った結果として判明した状況のうち，監査人が，

正解

エ. リスクアセスメントを実施した後に，リスク受容基準を決めていた。

正答率 49.1%（1,140人中 560人が正解）

問題の解説

JIS Q 27001 は、情報セキュリティのリスクアセスメントを行う際に、リスク受容基準を含むリスク基準を、あらかじめ確立することを求めている。受容基準は、アセスメントの結果を評価するものさしなので、結果が出た後に決めると、結果に合わせた基準になりかねない。したがって、リスクアセスメントの後にリスク受容基準を決めていた状況は要求事項に合わない不適合であり、指摘事項として報告すべきである。

選択肢ごとの解説

• アUSB メモリの使用を、定められた手順に従って許可していた状況は、決められたとおりの運用であり、要求事項に反しないので、指摘事項にならない。
• イ個人情報の誤廃棄事故を、規定されたとおり主務官庁などへ報告していた状況は、手順が守られている状態であり、指摘事項にならない。
• ウマルウェアスキャンでスパイウェアを検知し、駆除していた状況は、対策が有効に機能した例であり、指摘事項にならない。
• エ正しい。リスク受容基準は、リスクアセスメントを実施する前に確立しておくべきものであり、実施した後に決めていたのは順序が逆なので、指摘事項として記載すべきである。