正解：ア
各選択肢の解説
ア実施する管理策と、その担当者・実施時期を定めたリスク対応計画。
正解。「低減する」は方針にすぎず、どの対策を誰がいつまでに行うかが 決まっていないと実行されません。それを定めるのがリスク対応計画です。
イリスクを受容するか対応するかを判定するためのリスク基準。
誤り。リスク基準はリスクアセスメントの前に決めておく物差しで、 「低減する」という判断を下すために使います。この場面では判断はもう済んでおり、 足りないのは判断の後に動くための段取りです。
ウ守るべき情報資産と、その管理責任者を一覧にした情報資産台帳。
誤り。情報資産台帳はリスクを洗い出す出発点で、何を守るかを示します。 ファイルサーバのリスクを特定できている以上、台帳は役目を果たしています。 対策の担当や期限は台帳には書かれません。
エ組織として情報セキュリティに取り組む姿勢を示した情報セキュリティ方針。
誤り。情報セキュリティ方針は組織全体の目標や姿勢を示す最上位の文書で、 個々のリスクへの対策や期限までは定めません。方針があっても、個別の リスクについて実行の段取りがなければ対策は進みません。
理解を深めるために
「やる」と決めただけでは、誰も動かない
会議で「来月から経費を見直そう」と決めても、誰が何をいつまでにやるかを決めなければ、 次の会議でも同じ話をすることになります。リスク対応も同じで、「低減する」は 方向を決めただけです。実行に移すための段取りを書いたものがリスク対応計画です。
なぜ計画が要るのか
- リスクアセスメントで対応が必要と判定したら、リスク対応の選択肢（回避・低減・移転・保有）を選ぶ
- 選んだ選択肢を実現する管理策を決め、担当者・実施時期・必要な資源などを リスク対応計画にまとめる
- 計画はそのリスクに責任を持つリスク所有者の承認を得て実行に移し、 進み具合を確かめる。計画がなければ、遅れていることにも気づけない
混同しやすいものとの違い
| 文書 | いつ使うか | 何が書いてあるか |
|---|---|---|
| リスク対応計画 | 対応を決めた後 | 管理策・担当者・実施時期 |
| リスク基準 | アセスメントの前 | 受容か対応かを判定する物差し |
| 情報資産台帳 | リスクの洗い出しの前 | 守る資産と管理責任者 |
| 情報セキュリティ方針 | 全体の土台 | 組織の目標と取り組む姿勢 |
「決めたのに進まない」という場面では、判断の材料ではなく、判断の後に動くための 計画が欠けていると読み取ります。