令和4年度 秋期 応用情報技術者 問58

正解 エ

JIS Q 27001では、リスク受容基準を含むリスク基準をリスクアセスメントより前に確立します。そのため、アセスメントの後に受容基準を決めていたことは不適合として指摘すべきです。

JIS Q 27001:2014の6.1.2は、情報セキュリティリスクアセスメントのプロセスを定めています。そこでは、まずリスク受容基準を含むリスク基準を確立し、維持することを求めています。リスク受容基準は、アセスメントで分析・評価したリスクを受け入れるかどうかを判断する物差しです。アセスメントの後に基準を決めると、評価の結果に合わせて基準を都合よく決められてしまいます。そのため、この状況は要求事項への不適合であり、監査報告書に指摘事項として記載します。

ア：USBメモリの使用を定められた手順に従って許可しているので、管理策が規定どおりに運用されています。指摘事項にはあたりません。

イ：事故を規定されたとおりに主務官庁などへ報告しているので、インシデント対応が手順どおり行われています。指摘事項にはあたりません。

ウ：マルウェア対策の管理策が機能し、スパイウェアを検知して駆除できています。指摘事項にはあたりません。

出典：令和4年度 秋期 応用情報技術者試験 問58