情報セキュリティマネジメント試験 情報資産のリスク評価・対応計画 練習問題 第8問: ある部門が、別々に評価した二つのリスクA・Bへの対応を決定した。 Aについては、誤った変更が本番データへ反映される可能性を下げるため、変更内容の確認工程を追加
この科目 –/11 解いた
ある部門が、別々に評価した二つのリスクA・Bへの対応を決定した。 Aについては、誤った変更が本番データへ反映される可能性を下げるため、変更内容の確認工程を追加する。この工程の狙いは発生可能性の低下であり、対象業務の廃止や他社への損失負担の分担は行わない。 Bについては、現在の対策を含めてリスクを評価し、社内の受容基準内であることを確認した。受容の権限を持つ責任者が内容を認識したうえで、現状を維持することを承認し、判断を記録した。Bの追加対策は行わない。 Aの確認工程の追加と、Bの承認された現状維持について、対応の考え方を正しく表したものはどれか。
解答と解説を先に見る
正解: 3. Aは低減、Bは保有
Aは業務を続けながら、確認工程によって誤変更が反映される可能性を下げようとする低減です。Bは評価したリスクを認識し、権限を持つ責任者が現状維持を承認しているため保有です。 保有は、評価や判断を省いて放置することではありません。また、Aは対策の狙いを分類しているのであり、工程を追加しただけで実際の発生可能性がどれだけ下がったかを実証した問題ではありません。実施後の効果の確認は別に必要です。
関連キーワード: リスク低減・リスク保有・受容の判断
広告