情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 科目A サンプル問題 問1: JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，リスクを受容するプロセスに求められるものはどれか。

正解

ア. 受容するリスクについては，リスク所有者が承認すること

正答率 81.5%（81人中 66人が正解）

問題の解説

ISMSにおけるリスク受容は、残留リスクを正式に受け入れる意思決定であり、その責任を負うのはそのリスクに責任と権限をもつリスク所有者である。JIS Q 27001はリスク対応計画とその結果としての残留リスクについて、リスク所有者の承認を得ることを要求しているため、アが正しい。受容は分析・評価・対応のプロセスを経た後に行う。

選択肢ごとの解説

• アリスクの受容（残留リスクの承認）はリスク所有者が行うと規格で定められており、正しい。
• イ受容したリスクも状況変化で大きくなり得るため、監視・レビューの対象から外すのは誤り。
• ウリスク受容はリスク分析・評価を経た後に判断するものであり、分析前に行うのは誤り。
• エ受容はリスク対応の選択肢の一つであり、対応の前に決定する。対応後に決めるという記述は誤り。