平成29年度 春期 情報セキュリティマネジメント試験 午前 問5
テクノロジ／セキュリティJIS Q 31000:2010（リスクマネジメント－原則及び指針）において，リスクマネジメントを効果的なものにするために，組織が順守することが望ましいこととして挙げられている原則はどれか。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問5
- アリスクマネジメントは，静的であり，変化が生じたときに終了する。
- イリスクマネジメントは，組織に合わせて作られる。
- ウリスクマネジメントは，組織の主要なプロセスから分離した単独の活動である。
- エリスクマネジメントは，リスクが顕在化した場合を対象とする。
正解：イ
解説
JIS Q 31000では、リスクマネジメントを効果的なものにするための原則として、組織の状況や文化に応じて「組織に合わせて作られる（対応させる）」ことが挙げられています。リスクマネジメントは動的で、組織のあらゆるプロセスに統合される継続的な活動です。
選択肢ごとの解説
- ア誤り。リスクマネジメントは動的であり、変化を検知し、それに対応するものとされています。
- イ正しい。リスクマネジメントは、組織の外部及び内部の状況に合わせて作られる（対応させる）べきとされています。
- ウ誤り。リスクマネジメントは組織の主要なプロセスから分離した活動ではなく、組織のあらゆる活動に統合されるべきとされています。
- エ誤り。リスクマネジメントはリスクが顕在化する前から体系的、かつ、タイムリーに実施されるべきものです。