【正解の解説】
組織が遵守すべき法的および規制上の要件や、ステークホルダーからの要請事項
リスク受容基準とは、言わば「どこまでの危険なら目を瞑って許容できるか」のボーダーラインです。例えば、スピード違反の取締りで法律の制限速度が決まっているようなもので、自社の判断だけで勝手に「うちは時速100キロで一般道を走るのを受け入れます」とは決められません。法律や社会的なルール、お客様との約束事が、その基準の大前提として絶対に考慮されなければならないのです。
【その他の選択肢の解説】
リスクアセスメントによって特定された情報資産の調達コストや市場における資産価値
情報資産の金銭的な価値やコストは、リスクアセスメントの中で「資産価値の評価」として使われる重要な要素ですが、それ自体が「どの程度のリスクなら許容できるか」を決める基準になるわけではありません。お金がいくらかかるかということと、法令や社会通念上どこまでの危険に耐えなければならないかというルールは、全く別の次元の話であることを理解しておく必要があります。
情報セキュリティインシデントが発生した際に事業を迅速に復旧するための手順や体制
インシデントが起きた後のリカバリー手順は、リスク対応方針を決めたあとの「実際に事故が起きたときの実務」に該当します。リスク受容基準は、その手前の段階で「このリスクは対策せずに現状のままでいこう」あるいは「絶対に対策が必要だ」と判断するためのモノサシです。順番として、判断基準が先にあって、そのあとに具体的な復旧手順やマニュアルが作られるという流れになります。
組織内のすべての情報資産に対する網羅的な脆弱性診断の実施スケジュールと結果報告
脆弱性診断は、システムにセキュリティ上の弱点がないかを実際に調査する技術的な作業であり、見つかった弱点をどう評価・処理するかはまた別のプロセスです。リスク受容基準は、組織がどのような方針や法的制約のもとで活動しているかというガバナンスやコンプライアンスの観点から決まるものであり、個別の診断スケジュールとは目的が異なります。試験では、リスク管理の方針策定と個別の技術的作業を混同させる引っかけとしてよく出題されます。