* リスク選好度は、組織が目的達成のために受け入れるリスクの量と種類を定義します。
* 組織が許容できる潜在的な財務損失を把握することは、組織のリスク許容度を反映し、リスク管理とリスク軽減策への投資に関する意思決定の指針となります。
他のオプションが間違っている理由:
* A. 費用便益: 費用便益分析では、行動の経済的なトレードオフを評価しますが、許容可能なリスクのレベルは定義しません。
* C. 事業継続性: 組織の財務損失に対する許容度ではなく、中断中の業務の継続に重点を置きます。
* D. 影響の可能性: 金銭的損失を受け入れる意思ではなく、リスクが発生する確率を指します。
EC評議会CISOリファレンス:
CISO の役割には、プログラムのリスク管理フレームワークで強調されているように、リスク許容度とビジネス戦略を一致させることが含まれます。

* バージョン/ソース管理により、すべてのコード変更が追跡され、以前に修正された欠陥が再発しないことが保証されます。
* 堅牢なソース管理を実施しないと、古くなったコードや安全でないコードが誤って再導入される可能性があります。
他の選択肢の可能性が低い理由:
* A. 効果のない構成管理制御: これは、アプリケーション コードではなく、システム構成に関係します。
* B. 変更管理制御の欠如: 変更管理は全体的なプロセスに対処しますが、コードの再導入を具体的に防止するものではありません。
* D. 開発部門における離職率の高さ: 離職率が問題の一因となっている可能性もありますが、根本的な原因はバージョン管理やソース管理が不十分であることです。
EC評議会CISOリファレンス:
バージョン管理を含む効果的な開発プラクティスは、アプリケーションのセキュリティを維持するために重要であると強調されています。

ログレビューに関する PCI コンプライアンス要件:
* PCI-DSS では、セキュリティ イベントが特定され、速やかに対処されるように、毎日ログを確認することが義務付けられています。
* カード所有者データを処理する重要なシステムに焦点を当てます。
これが正しい理由:
* 毎日のレビューは、異常や違反の早期発見、コンプライアンスとセキュリティの維持に役立ちます。
他のオプションが間違っている理由:
* B. 時間単位: PCI 標準では必須ではありません。
* C. 毎週、D. 毎月: コンプライアンスには頻度が低すぎます。
参考文献:
PCI-DSS 標準では、EC-Council が強調しているように、毎日のログの確認が明示的に要求されています。