令和元年度 秋期 情報セキュリティマネジメント試験 午前 問3
テクノロジ／セキュリティJIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，リスクを受容するプロセスに求められるものはどれか。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問3
- ア受容するリスクについては，リスク所有者が承認すること
- イ受容するリスクを監視やレビューの対象外とすること
- ウリスクの受容は，リスク分析前に行うこと
- エリスクを受容するかどうかは，リスク対応後に決定すること
正解：ア
解説
JIS Q 27001では、リスクを受容する際には、リスク所有者がリスク対応計画及び残留リスクを承認することが求められています。
選択肢ごとの解説
- ア正しい。受容するリスクはリスク所有者が承認する必要があります。
- イ誤り。受容したリスクも監視やレビューの対象から外してはなりません。
- ウ誤り。リスクの受容は、リスクアセスメント（分析・評価）の後に検討するプロセスです。
- エ誤り。リスクを受容するかどうかは、リスク対応の選択肢の一つとして、リスク対応の中で決定します。