正解：ア
各選択肢の解説
ア段階の数と各段階の意味を全社で定め、どの部門も同じ基準で見積もるようにする。
正解。アセスメントを実施するための基準を先に揃える対応です。 物差しが同じなら、誰が何度行っても結果を比べられ、全社で優先順位を付けられます。
イ各部門の結果をそのまま並べ、リスクレベルの数値が大きいものから対応する。
誤り。3段階で「3」と5段階で「3」は意味が違うので、数値を並べても比べられません。 物差しが違うまま結果だけを集めても、優先順位の根拠になりません。 揃えるべきは結果ではなく、見積もるときの基準です。
ウ各部門の結果を情報システム部が技術面から見直し、同部の判断で付け直す。
誤り。一つの部門が後から付け直しても、その部門の判断が基準になるだけで、 どう見積もるかという基準が文書で定まりません。業務への影響は各部門の方が よく分かるので、基準を揃えたうえで各部門が見積もる方が適切です。
エ次回からは外部の専門業者に委託し、業者の判断で全部門の見積もりを行う。
誤り。委託しても、組織として何を「影響：大」とするかを決めていなければ、 業者の判断がそのまま基準になります。見積もりの基準は、組織の目的や リスク態度を踏まえて組織自身が定めるものです。
理解を深めるために
比べられる結果を出すには、まず物差しを揃える
身長を測るのに、ある人はセンチ、別の人はインチで測ったら、数字を並べても誰が高いか分かりません。 リスクアセスメントも同じで、見積もりの段階の数や「大」の意味が部門ごとに違えば、 結果を並べても全社の優先順位は付けられません。そこで、アセスメントを実施するための基準を 始める前に定めておきます。
リスク基準に何を含めるか
リスク基準には、大きく次の2つが含まれます。
- リスク受容基準: どのリスクレベルなら受け入れるか、対応が要るかを判定する線
- 情報セキュリティリスクアセスメントを実施するための基準: 発生可能性と影響を何段階で、 それぞれどういう意味で見積もるか、リスクレベルをどう決めるか
後者が揃っていると、繰り返し行ったアセスメントが一貫した、妥当で比べられる結果になります。 基準は、組織の目的やリスク態度を踏まえて組織自身が決め、文書にしておきます。
混同しやすいものとの違い
| 見直しの方法 | 何が揃うか |
|---|---|
| 全社で見積もりの基準を定める | 見積もりの物差し。結果を比べられる |
| 結果の数値をそのまま並べる | 何も揃わない。物差しが違うまま |
| 一部門が後から付け直す | その部門の判断。基準は文書に残らない |
| 外部業者に任せる | 業者の判断。組織の基準にならない |
「結果が比べられない」と言われたら、結果ではなく見積もりの基準を疑うのが定石です。