問題 No.4152
JIS Q 27000シリーズなどで規定される情報セキュリティリスクマネジメントにおけるリスク受容基準の説明として不適切なものはどれか。ア: リスク受容基準は、組織がリスクを受け入れるかどうかを決定するための基準であり、組織の目的に照らして設定される。イ: リスク受容基準には、組織が許容できるリスクの許容水準が含まれる。ウ: リスク受容基準は、一度設定したら外部環境や事業内容が変化しても一切見直してはならない。エ: リスク受容基準は、法的、規制上の要件および組織の義務を考慮して決定される。
【正解の解説】
リスク受容基準は、一度設定したら外部環境や事業内容が変化しても一切見直してはならない。
会社の予算やルールを「一度決めたから数十年そのまま」にしないのと同じです。例えば、世の中で新しいサイバー攻撃が流行したり、会社の事業規模が大きくなったりすれば、これまでの「許容できるリスクのライン」も古くなってしまいます。そのため、外部環境やビジネスの変化に合わせて定期的に基準をアップデートすることが不可欠です。
スポンサーリンク
【その他の選択肢の解説】
リスク受容基準は、組織がリスクアセスメントを実施する際に対象範囲を限定するための基準としても利用される。
初学者が引っかかりやすいポイントとして、セキュリティの用語を何でもかんでも「リスク受容基準」に結びつけてしまう傾向があります。リスク受容基準はあくまで「これくらいのリスクなら我慢できる（受け入れられる）」という合=
リスク受容基準は、組織が保有する情報資産の重要度を分類するために用いる定量的な評価基準である。
情報資産の価値を測る基準と、リスクを受け入れるかどうかの判断基準は、セキュリティマネジメントの中で役割が異なります。資産の重要度を測った上で、そのリスクを会社として許容できるかを決めるのがリスク受容基準であるため、目的を取り違えないように注意が必要です。
リスク受容基準は、特定されたリスクに対して講じる情報セキュリティ対策の具体的な費用対効果を算出する。
対策にかかる費用とリスク低減の効果を比べることは重要ですが、それは受容基準そのものの定義や算出方法ではありません。リスク受容基準は、組織がどれくらいのリスクなら引き受けてよいとするかのボーダーラインを示すものであり、コスト計算の公式そのものではないため誤りとなります。