問題番号: No.4152 (しっかりモード)

JIS Q 27000シリーズなどで規定される情報セキュリティリスクマネジメントにおけるリスク受容基準の説明として不適切なものはどれか。ア: リスク受容基準は、組織がリスクを受け入れるかどうかを決定するための基準であり、組織の目的に照らして設定される。イ: リスク受容基準には、組織が許容できるリスクの許容水準が含まれる。ウ: リスク受容基準は、一度設定したら外部環境や事業内容が変化しても一切見直してはならない。エ: リスク受容基準は、法的、規制上の要件および組織の義務を考慮して決定される。