出典：平成29年度 秋期 情報セキュリティマネジメント試験（SG） 午前 問7
難易度設定
予備知識
| 用語 | 意味 |
|---|---|
| 情報セキュリティ | 情報の安全を守ること |
| ISMS（情報セキュリティマネジメントシステム） | どこかの誰かが決めた「情報の安全を守るために、こんな取り組みをしよう！」な内容に付けた名前 |
| ISMS要求事項 | 「ISMSを構築して、運用して、改善するにあたって、こんなことをやりなさい！」な要求事項があれやこれやと定められている規格 |
| リスク | 「危険性」のこと。もしくは「不確実性」のこと |
| 情報セキュリティリスク | 情報の安全を損ねる（かもしれない）リスク |
| リスク分析 | 見つかったリスクに対する「このリスクは、どんなやつかな～？」とかを調べる作業 |
| リスク評価 | 分析したリスクに対する「このリスクは放っておくとヤバいかな～？」とかを考える作業 |
| インシデント | 「うわっ！ヤバっ！」な状態。「ヒヤリハット」と似たようなもの |
問題
| 問題文 |
|---|
| JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に従ったリスク評価において，情報セキュリティリスクが受容可能か否かの意思決定を行う際に，リスク分析結果と比較するものはどれか。 |
| ピヨ意訳：「JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）」に関する問題だよ。リスク評価において、リスクに対する意思決定をする際にリスク分析結果と比較するものは、どれ？ |
| 解答選択肢 | |
|---|---|
| ア | 組織の情報セキュリティインシデントシナリオ |
| ピヨ意訳：シナリオ | |
| イ | 組織の情報セキュリティのインシデント対応フロー |
| ピヨ意訳：対応フロー | |
| ウ | 組織の情報セキュリティのリスク基準 |
| ピヨ意訳：基準 | |
| エ | 組織の情報セキュリティリスク対応計画 |
| ピヨ意訳：対応計画 | |
正解
| 正解 | |
|---|---|
| ウ | 組織の情報セキュリティのリスク基準 |
| ピヨ意訳：基準 | |
ピヨピヨ解説
「JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）」の中身を知らなくても解けそうですね。
セキュリティリスクの話に限りません。
意思決定をするために「分析結果」と比較するのです。
比較対象となるのは「基準」でしょう。
ということで「ウ：組織の情報セキュリティのリスク基準」が正解です。
ちなみに「JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）」には以下の記述が ありました。
6 計画
6.1 リスク及び機会に対処する活動
（中略）
6.1.2 情報セキュリティリスクアセスメント
組織は，次の事項を行う情報セキュリティリスクアセスメントのプロセスを定め，適用しなければならない。
a)次を含む情報セキュリティのリスク基準を確立し，維持する。
1)リスク受容基準
2)情報セキュリティリスクアセスメントを実施するための基準b)繰り返し実施した情報セキュリティリスクアセスメントが，一貫性及び妥当性があり，かつ，比較可能な結果を生み出すことを確実にする。
c)次によって情報セキュリティリスクを特定する。
1) ISMSの適用範囲内における情報の機密性，完全性及び可用性の喪失に伴うリスクを特定するために，情報セキュリティリスクアセスメントのプロセスを適用する。
2)これらのリスク所有者を特定する。
d)次によって情報セキュリティリスクを分析する。
1) 6.1.2 c) 1)で特定されたリスクが実際に生じた場合に起こり得る結果についてアセスメントを行う。
2) 6.1.2 c) 1) で特定されたリスクの現実的な起こりやすさについてアセスメントを行う。
3) リスクレベルを決定する。
e) 次によって情報セキュリティリスクを評価する。
1) リスク分析の結果と 6.1.2 a) で確立したリスク基準とを比較する。
2) リスク対応のために，分析したリスクの優先順位付けを行う。
ごちゃごちゃと書いてありますが、6.1.2 e) 1) の
リスク分析の結果と 6.1.2 a) で確立したリスク基準とを比較する。
に注目してください。
リスク分析の結果と比較するのは「リスク基準」とバッチリ書いてあります。
ということで「ウ：組織の情報セキュリティのリスク基準」が正解です。
