平成30年度 秋期 情報セキュリティマネジメント試験 午前 問37

解説

リスクアセスメントを実施した後にリスク受容基準を決めるという状況は、本来リスク受容基準はリスクアセスメントの実施前にあらかじめ定めておくべきものであるため、プロセスの順序が誤っており、指摘事項として監査報告書に記載すべきものです。

選択肢ごとの解説

• ア誤り。定められた手順に従ってUSBメモリの使用を許可していたことは、規定どおりの適切な運用であり、指摘事項には該当しません。
• イ誤り。規定されたとおりに個人情報の誤廃棄事故を報告していたことは、適切な運用であり、指摘事項には該当しません。
• ウ誤り。マルウェアスキャンでスパイウェアが検知され、駆除されていたことは、対策が機能している証拠であり、指摘事項には該当しません。
• エ正しい。リスク受容基準は本来リスクアセスメントの前に定めるべきであり、実施後に決めていたことは指摘事項として記載すべきです。