重要度：B 論点：リスク低減
問26：リスク低減とは、リスクのある業務を外部の事業者へ委託して、自社の関与をなくすことをいう。
解答を見る
×：リスク低減は、管理策によって発生可能性や影響の大きさを小さくする対応である。外部委託は、契約内容や目的によってリスク共有や低減の側面を持つ場合があるが、委託しただけで自社の責任やリスクがなくなるわけではない。
重要度：C 論点：リスク所有者
問27：リスク所有者は、組織から与えられた権限の範囲で、担当するリスクの管理や対応の推進に責任を持つ者として定める。
解答を見る
○：リスク所有者は、与えられた権限の範囲で、リスクの把握、対応の推進、残留リスクの報告などに責任を持つ。最終的な受容・承認の権限は、組織の規程により別の役割に定められる場合がある。
重要度：B 論点：残留リスク
問28：適切に対策を実施すれば、残留リスクは必ずゼロになる。
解答を見る
×：どのような対策にも限界があり、対応後にも残留リスクは残る。残留リスクは受容基準と比較し、承認を得て受け入れ、その後も監視を続ける。
重要度：C 論点：リスクコミュニケーション
問29：リスクに関する情報は情報セキュリティ部門だけで共有し、業務部門、経営陣、委託先などの関係者には伝えない方がよい。
解答を見る
×：リスク対応には、業務上の判断、資源配分、契約上の対応などが必要になる。必要な情報を適切な関係者と共有し、共通理解を形成することが重要である。
重要度：C 論点：リスク登録簿
問30：特定したリスクとその対応状況は、リスク登録簿に記録して見直しに活用する。
解答を見る
○：リスクの内容、レベル、対応、所有者、状況を記録しておくことで、再評価や監査、引継ぎの基礎資料になる。
コメント