情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度秋期 午前 問8: JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体

問題本文

JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体を何と呼んでいるか。

選択肢

• ア.監査員
• イ.トップマネジメント
• ウ.利害関係者
• エ.リスク所有者

正解

エ. リスク所有者

解説

JIS Q 27000では、リスクを運用管理することについてアカウンタビリティ（説明責任）と権限をもつ人又は主体を「リスク所有者（リスクオーナー）」と定義している。リスク所有者は当該リスクの対応の決定や受容に責任をもつ。よって正解はエである。

選択肢ごとの解説

• ア.誤り。監査員は監査を実施し客観的証拠を評価する人であり、リスクの運用管理に責任をもつ立場ではない。
• イ.誤り。トップマネジメントは組織を指揮・管理する最高位の人々であり、個々のリスクの所有者とは限らない。
• ウ.誤り。利害関係者は組織の活動に影響を与えうる、または影響を受けうる主体であり、リスクの運用管理責任者を指す用語ではない。
• エ.正しい。リスクを運用管理するアカウンタビリティと権限をもつ主体はリスク所有者と定義されている。