正解：ウ
各選択肢の解説
ア残ったリスクがゼロになるまで対策を追加し、ゼロになった時点で計画を完了とする。
誤り。リスクをゼロにすることを目標にする誤解です。どれだけ対策を重ねても リスクは残り、費用だけが膨らみます。受容基準を下回ったなら追加の対策は 求められず、残りをどう扱うかを決める段階に進みます。
イ基準を下回ったので対応は済んだものとし、以後の見直しの対象から外す。
誤り。受け入れたリスクを放置する誤解です。新しい攻撃手法や業務の変化で、 残留リスクは後から大きくなることがあります。受容したあとも監視し、 定期的なリスクアセスメントで見直す対象に残します。
ウ残るリスクの内容を示してリスク所有者の受容の承認を得て、変化を監視し続ける。
正解。残留リスクは、そのリスクに責任を持つリスク所有者が内容を理解したうえで 受け入れを承認します。受け入れたあとも、状況の変化で大きくならないかを見続けます。
エ情報セキュリティ担当者が受容を判断し、リスク所有者には知らせずに記録だけ残す。
誤り。受容を決める立場を取り違えています。担当者は対策の実施や評価を担いますが、 リスクを受け入れるかどうかは、そのリスクの結果に責任を持つリスク所有者が 判断します。知らされないまま受容されると、責任の所在があいまいになります。
理解を深めるために
残ったリスクは「誰かが引き受けた」状態にして見張る
対策を打ってもリスクはゼロになりません。鍵を二重にしても、窓ガラスを割られる 可能性は残ります。大事なのは、残った分を誰が引き受けたのかをはっきりさせ、 その後も様子を見続けることです。
なぜ承認と監視が要るのか
- リスク対応の後に残るリスクを残留リスクと呼ぶ。対策の効果を見込んだうえで、 なお残る分である
- リスク受容基準を下回っていれば、追加の対策ではなく受け入れを決める段階に進む
- 受け入れを決めるのは、そのリスクを管理する責任と権限を持つリスク所有者。 担当者が独断で済ませると、事故が起きたときに誰の判断だったのかが分からなくなる
- 受け入れたリスクも固定ではない。新しい脆弱性や攻撃手法、扱う情報の増加で 大きくなりうるので、監視し、次のリスクアセスメントで見直す
混同しやすい扱い方との違い
| 扱い方 | 何が問題か |
|---|---|
| 所有者の承認を得て受容し、監視する | 適切。責任の所在と見直しの機会が残る |
| ゼロになるまで対策を追加する | ゼロにはならず、費用が膨らむだけ |
| 対応済みとして見直しから外す | 状況の変化でリスクが大きくなっても気づけない |
| 担当者が判断し所有者に知らせない | 受け入れを決める立場が違い、責任があいまいになる |
試験では「残留リスク」と出たら、ゼロにするのではなく「受容の承認」と「監視」の 2つがそろっているかで選択肢を見分けます。