午前I問題
情報セキュリティにおけるリスクアセスメントに関する記述のうち，適切なものはどれか。
ア）リスク回避を選択した場合，そのリスクに関連する活動を完全に停止しなければならない イ）リスクの大きさは，脅威の発生確率と脅威が顕在化した場合の影響度の積として求められる ウ）残留リスクとは，リスク対応後に残るリスクのことであり，必ずゼロになるよう対応しなければならない エ）リスク移転とは，リスクを組織内の別部門に移す対応のことである
午前I の解答・解説を見る
正解： イ
解説： リスクの大きさ（リスクレベル）は「脅威発生確率×影響度」で算出するのが一般的であり，イが正しい。ア：リスク回避は対象活動の停止や方法変更を指すが，「完全停止が必須」は誤り。活動方法を変更することでもリスク回避となる。ウ：残留リスクは対応後もなお残るリスクであり，許容できるレベル以下であれば受容（保有）可能。ゼロにする必要はない。エ：リスク移転とは保険や外部委託など第三者への財務的転嫁であり，内部の別部門への移転とは異なる。
午前II問題
ISO/IEC 27001に基づくISMS（情報セキュリティマネジメントシステム）の運用に関する記述のうち，適切なものはどれか。
ア）ISMSの適用範囲は組織全体を対象としなければならず，一部門や一システムのみを対象とすることはできない イ）情報セキュリティ目的は，機密性・完全性・可用性の観点を考慮して設定しなければならない ウ）内部監査は，監査対象部門の担当者が自己評価として実施することが推奨されている エ）リスクオーナーは，情報セキュリティ最高責任者（CISO）のみが担うことができる
午前II の解答・解説を見る
正解： イ
解説： ISO/IEC 27001では情報セキュリティの3要素（機密性・完全性・可用性）を考慮したセキュリティ目的の設定を要求しており，イが正しい。ア：適用範囲は組織が自ら決定するものであり，特定部門や特定サービスのみを対象とすることも可能。ウ：内部監査は監査対象業務から独立した人員による実施が要求されており，自己評価は認められない（ISO/IEC 27001 箇条9.2）。エ：リスクオーナーはCISOに限らず，各部門の責任者等も担うことができる。
午後問題
X社は従業員500名の製造業である。近年，主要取引先から情報セキュリティ管理体制の整備を求められたため，ISO/IEC 27001に基づくISMSの認証取得を目指すことになった。プロジェクトリーダーのAさんはコンサルタントと協力してISMS構築を進めており，リスクアセスメントの結果，以下の3つのリスクを識別した。
| リスクID | 内容 | 発生確率 | 影響度 |
|---|---|---|---|
| R1 | 外部からの不正アクセスによる顧客情報漏えい | 中 | 高 |
| R2 | 従業員の操作ミスによる設計図面の誤送信 | 高 | 中 |
| R3 | 自然災害によるシステム停止 | 低 | 高 |
R1に対しては「次世代ファイアウォール導入（年間コスト200万円）」または「サイバー保険加入（年間保険料150万円）」を，R2には「メール誤送信防止システム導入」を，R3には「遠隔地バックアップセンター利用」をそれぞれ検討している。
設問1
R1に対するリスク対応について，(a)「次世代ファイアウォール導入」を選択した場合のリスク対応種別と，(b)「サイバー保険加入」を選択した場合のリスク対応種別をそれぞれ答えよ。また，サイバー保険加入を選択した場合に組織に残留するリスクを60字以内で説明せよ。
設問1の解答・解説を見る
正解例：
- (a) 次世代ファイアウォール導入：リスク低減（リスク軽減）
- (b) サイバー保険加入：リスク移転
- 残留リスク：保険金の支払上限を超える損害や免責事項に該当する損失は補償されず，組織がその損失を負担するリスク（52字）
解説： リスク対応の4種別は「低減（軽減）・回避・移転・保有（受容）」である。次世代ファイアウォールは不正アクセスの発生確率や被害を技術的に抑制するリスク低減，サイバー保険は財務的損失を保険会社に転嫁するリスク移転に分類される。サイバー保険では支払限度額超過分や免責条項該当分の損失は組織が依然として負担するため，残留リスクが生じる。
採点基準（10点）： (a)対応種別（3点）—「リスク低減/軽減/削減」で3点。(b)対応種別（3点）—「リスク移転」で3点。残留リスク（4点）—「上限超過」または「免責事項（免責条項）」に相当するキーワードを含む説明で各2点。
設問2
X社ではISMS認証取得後，継続的改善を目的として年1回の管理レビュー（マネジメントレビュー）を実施することになった。ISO/IEC 27001が管理レビューへのインプットとして要求する事項を3つ挙げよ。
設問2の解答・解説を見る
正解例（以下のうち3つ）：
- 前回の管理レビューの結果に対する処置の状況
- 情報セキュリティに関係する外部及び内部の課題の変化
- 情報セキュリティのパフォーマンスに関するフィードバック（監査結果・インシデント・測定結果等）
- 利害関係者のニーズ及び期待の変化
- リスクアセスメントの結果及びリスク対応計画の状況
- 改善の機会
解説： ISO/IEC 27001の箇条9.3（マネジメントレビュー）は，トップマネジメントが計画した間隔でISMSをレビューし，継続的な適切性・妥当性・有効性を確実にすることを要求している。インプット情報を正しく把握することは，実効性あるマネジメントレビューの前提であり，SC試験でも頻出の問われ方をする。
採点基準（9点，各3点）： 規格箇条9.3が定める要求事項を3つ正確に記述する。キーワード例：「前回処置の状況」「外部・内部の課題の変化」「パフォーマンスのフィードバック」「利害関係者ニーズの変化」「リスクアセスメント結果」「改善の機会」
重要キーワード
| 用語 | 説明 |
|---|---|
| リスクアセスメント | リスクの識別・分析・評価を行うプロセス。脅威・脆弱性・影響度を考慮してリスクレベル（発生確率×影響度）を算定する |
| リスク対応 | 識別されたリスクに対して低減・回避・移転・保有（受容）のいずれかの対応策を選択・実施すること |
| 残留リスク | リスク対応後もなお残るリスク。許容可能なリスクレベルであれば受容（保有）できる |
| ISMS | Information Security Management System。ISO/IEC 27001に基づく情報セキュリティの体系的な管理の仕組み |
| 管理レビュー | トップマネジメントがISMSの適切性・妥当性・有効性を定期的にレビューするプロセス（ISO/IEC 27001 箇条9.3） |
| リスクオーナー | 特定のリスクを管理する責任を持つ人物または組織。CISOに限らず各部門の責任者等も担うことができる |
まとめ
- 午前I視点： リスクアセスメントの基本概念（リスクレベル＝発生確率×影響度）とリスク対応の4種別（低減・回避・移転・保有）を正確に区別できるようにする
- 午前II視点： ISO/IEC 27001の要求事項（適用範囲の柔軟性・内部監査の独立性・情報セキュリティ目的の3要素・リスクオーナーの概念）を具体的な条文レベルで把握する
- 午後視点： 実務シナリオでリスク対応種別を判断し，残留リスクを簡潔に記述する能力と，管理レビューのインプット要件を規格に即して列挙する能力を身につける