平成28年度 春期 情報セキュリティマネジメント試験 午前 問5
テクノロジ／セキュリティJIS Q 27001において，リスクを受容するプロセスに求められるものはどれか。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問5
- ア受容するリスクについては，リスク所有者が承認すること
- イ受容するリスクをモニタリングやレビューの対象外とすること
- ウリスクの受容は，リスク分析前に行うこと
- エリスクを受容するかどうかは，リスク対応後に決定すること
正解：ア
解説
JIS Q 27001では、リスク対応計画及び残留リスクについて、リスク所有者が承認することが、リスクを受容するプロセスに求められています。
選択肢ごとの解説
- ア正しい。受容するリスクは、リスク所有者が承認する必要があります。
- イ誤り。受容したリスクも継続的なモニタリング及びレビューの対象とする必要があります。
- ウ誤り。リスクの受容は、リスクアセスメント（分析・評価）の後に検討されるプロセスです。
- エ誤り。リスクを受容するかどうかは、リスク対応の選択肢の一つとして、リスク対応の過程で決定されます。