ISMS の適用宣言書
JIS Q 27001:2023 における情報セキュリティリスク対応の管理策の取扱いに関する記述として，適切なものはどれか。
- ア情報セキュリティリスク対応計画及び残留している情報セキュリティリスクの受容は，リスク所有者ではなく，内部監査の責任者が承認する。
- イ組織は，附属書 A に含まれていない管理策をリスク対応に採用してはならない。
- ウ組織は，リスク対応に必要な管理策を決定し，それを附属書 A の管理策と比較して必要な管理策の見落としがないことを検証した上で，適用宣言書を作成する。
- エ適用宣言書には，組織が採用した管理策だけを記載し，附属書 A の管理策のうち除外したものとその理由は記載しない。
正解と解説を見る
正解 ウ
この問題の基礎知識
- JIS Q 27001 は ISMS の要求事項を定める規格であり，情報セキュリティリスクアセスメントの結果に基づいてリスク対応の選択肢を選び，その実施に必要な管理策を決定する。
- 附属書 A は管理策の一覧であるが網羅的なものではなく，組織は必要に応じて附属書 A 以外の管理策を設計したり採用したりしてよい。
- 適用宣言書は，必要な管理策とそれを含めた理由，実施しているか否か，附属書 A の管理策を除外した場合はその理由を記載する文書である。
- リスク所有者は，リスクを運用管理することについて説明責任と権限をもつ人又は主体であり，リスク対応計画と残留リスクの受容はリスク所有者が承認する。
ア情報セキュリティリスク対応計画及び残留している情報セキュリティリスクの受容は，リスク所有者ではなく，内部監査の責任者が承認する。
6.1.3 は，情報セキュリティリスク対応計画及び残留している情報セキュリティリスクの受容について，リスク所有者の承認を得ることを求めている。内部監査の責任者は承認の主体ではない。
イ組織は，附属書 A に含まれていない管理策をリスク対応に採用してはならない。
規格は，組織が必要に応じて管理策を独自に設計したり，他の情報源から特定したりしてよいことを示している。附属書 A は管理策を網羅したものではなく，それ以外の管理策の採用も認められる。
ウ組織は，リスク対応に必要な管理策を決定し，それを附属書 A の管理策と比較して必要な管理策の見落としがないことを検証した上で，適用宣言書を作成する。正解
6.1.3 では，リスク対応の選択肢の実施に必要な管理策を決定し，附属書 A と比較して見落としがないことを検証し，必要な管理策，含めた理由，実施の有無，除外の理由を記載した適用宣言書を作成することを求めている。
エ適用宣言書には，組織が採用した管理策だけを記載し，附属書 A の管理策のうち除外したものとその理由は記載しない。
適用宣言書には，必要な管理策とそれを含めた理由，実施しているか否かに加えて，附属書 A の管理策のうち除外したものについて除外の理由も記載することが求められる。
検証用の出典レビュー済み
JIS Q 27001:2023 6.1.3 情報セキュリティリスク対応