個人を騙してユーザー名とパスワードを入力させるために偽のウェブサイトを作成することは、フィッシングの典型的な例です。フィッシングは、攻撃者が信頼できる組織になりすまして、被害者を騙して機密情報（認証情報、個人データ、支払い詳細）を開示させたり、攻撃者に利益をもたらす行動（マルウェアのダウンロード、MFAプロンプトの承認、送金）を取らせたりするソーシャルエンジニアリングの手法です。偽のログインページは、認証情報収集キャンペーンでよく使用されます。被害者は正規のサービスに認証していると信じていますが、認証情報は攻撃者に盗まれ、後でアカウントの乗っ取りに使用されます。これは、質問が認証情報の取得の試みを説明しているため、必ずしも侵害ではありません。侵害とは、不正アクセスまたは開示が確認された場合です。フィッシングは一種の脅威ですが、「脅威」という言葉は、説明されている具体的な行動に比べて広すぎます。また、データを暗号化またはロックして支払いを要求するランサムウェアでもありません。サイバーセキュリティ関連の文書では、フィッシング攻撃に対する多層防御策が強調されています。具体的には、ユーザーへの意識向上トレーニング、メールとウェブのフィルタリング、ドメインと証明書の検証、なりすまし対策、強力な認証（特にプロンプ​​ト疲れに強い多要素認証）、類似ドメインへの認証情報入力を減らすパスワードマネージャー、そして不審なログインの監視などが挙げられます。この攻撃は偽のウェブサイトを介した欺瞞によって認証情報を盗み出すため、フィッシング攻撃が最も適切な例と言えるでしょう。

情報分類とは、組織が作成または保有するデータを評価し、機密レベルを割り当てる正式なプロセスであり、組織が適切な保護措置を講じることができるようにするためのものです。サイバーセキュリティポリシーでは、分類は一貫した保護の基盤であるとされています。なぜなら、分類によって、不正な開示、改ざん、または損失による潜在的な損害を、特定の取り扱いおよび管理要件に結び付けることができるからです。一般的な分類ラベルには、「公開」、「内部」、「機密」、「制限付き」などがありますが、名称は組織によって異なります。データが分類されると、保存時および転送時の暗号化、最小権限に基づくアクセス制限、承認された保管場所、監視要件、保持期間、安全な廃棄方法など、必要な保護措置を指定できます。
これは、システム、アプリケーション、または構成の弱点を特定することに焦点を当てた脆弱性評価ではありません。また、管理策とプロセスが遵守され、効果的であるかどうかを評価する内部監査でもありません。オプションDの情報分類は、主に管理基準を策定するために、情報タイプまたはシステムへの影響レベル（たとえば、機密性、完全性、可用性への影響）を割り当てることを説明するために、一部のフレームワークでよく使用されます。関連性はあるものの、この質問は特に、データを評価し、開示リスクに基づいて保護レベルを決定することに重点を置いており、これは組織全体のラベル付けと取り扱い規則を管理するために使用される分類プログラムと最も直接的に一致します。
強力な分類プログラムは、セキュリティの一貫性を向上させ、コンプライアンスを支援し、偶発的な情報漏洩を減らし、最も機密性の高い情報資産に対する管理の優先順位付けに役立ちます。

NIST方式のリスク評価では、全体的な発生可能性は単なる推測ではなく、関連する2つの発生可能性要素を考慮して算出されます。1つ目は、脅威イベントが開始される可能性です。これは、攻撃者の能力、意図、標的、機会、環境条件などの要素を考慮して、脅威アクターまたは情報源が攻撃を試みるか、脅威イベントが発生する可能性を反映しています。2つ目は、開始されたイベントが成功する可能性、つまり、試みが悪影響をもたらす可能性です。これは、組織の既存の保護対策と状況（制御の強度、システムの露出、脆弱性、設定ミス、検出および対応能力、ユーザーの行動など）に大きく依存します。
オプションAはこの構造に合致しています。アナリストは、攻撃開始の可能性と攻撃成功の可能性の両方を評価し、全体的な可能性を把握します。攻撃開始の可能性が高く、成功の可能性が低いのは、組織が頻繁に標的にされるものの、強力な防御策を講じている場合などが考えられます。逆に、攻撃開始の可能性が低く、成功の可能性が高いのは、標的にされることは稀だが、防御が不十分なニッチなシステムなどが該当します。
他の選択肢は不完全か、適切ではありません。リスクの影響は発生可能性とは別の次元であり、リスク軽減戦略はリスク対策の結果であって、発生可能性の入力ではありません。サイトのトラフィックと取引量はリスクへの曝露に影響を与える可能性がありますが、それ自体で発生可能性を定義するものではありません。過去の経験と傾向は有用な証拠となりますが、それらは発生可能性の2つの要素を置き換えるのではなく、推定を裏付けるものです。

パッチとは、ソフトウェアの不具合（プログラミングエラーやセキュリティ脆弱性など）を修正するために、ベンダーまたは開発者が提供するアップデートのことです。サイバーセキュリティやIT運用に関する文書では、パッチ適用は脆弱性対策の主要な方法として挙げられています。これは、多くの攻撃が、既に修正プログラムが存在する既知の脆弱性を悪用することで成功しているためです。脆弱性が明らかになると、ベンダーはコードの変更、コンポーネントの更新、構成のデフォルト設定の調整、または脆弱なライブラリの置き換えを行うパッチを公開することがあります。パッチを適用することで、攻撃者がその脆弱性を利用して不正アクセス、悪意のあるコードの実行、権限昇格、またはシステムの可用性の阻害を行う可能性を低減できます。
パッチは、リスクを軽減するために使用されるより広範な安全対策（技術的、管理的、または物理的）であるコントロールとは異なります。パッチ適用自体は、パッチ管理プログラムなどのコントロールの一部となる場合があります。また、新機能、改善点、複数の修正を含む可能性のあるより広範なソフトウェア配布であるリリースとも異なります。パッチは通常、より対象を絞ったものであり、メジャーリリースの間に発行される場合があります。ログはイベントの監査記録であり、コードの欠陥を修正するためではなく、監視、トラブルシューティング、およびインシデント調査に使用されます。
サイバーセキュリティに関するガイダンスでは、規律あるパッチ管理が重視されています。具体的には、資産インベントリの維持、リスクと影響度に応じたパッチの優先順位付け、変更点のテスト、迅速な展開、インストールの検証、および残存リスクを管理するための例外事項の文書化などが挙げられます。

KRIとKPIは、規律ある測定ライフサイクルの一環として扱われる場合にのみ有効です。サイバーセキュリティガバナンスのガイダンスでは、収集、分析、報告という3つの重要な活動が強調されています。組織はまず、脆弱性スキャナー、SIEMログ、IAMシステム、チケット発行プラットフォーム、資産インベントリなどの信頼できる情報源から、KRIとKPIのデータを一貫して収集する必要があります。収集には、明確なメトリック所有者、明確な定義、標準化された時間枠、データ品質チェックが必要であり、これにより結果が期間や事業部門間で比較可能になります。
次に、組織はデータを分析して、それがリスクとパフォーマンスにどのような意味を持つかを理解します。分析には、経時的な傾向の把握、結果と目標値および閾値との比較、指標とビジネス成果の相関関係の分析、外れ値の特定、および根本原因の特定が含まれます。KRI（重要リスク指標）については、分析によって、SLA（サービスレベル契約）を超える重大な脆弱性の増加など、リスクへの曝露の増加や制御の不備が明らかになります。KPI（重要業績評価指標）については、分析によって、検出までの平均時間や修復までの平均時間など、運用効率が評価されます。
最後に、組織は適切な対象者に適切な詳細レベルで結果を報告します。報告は、アクションの割り当て、是正措置の進捗状況の追跡、しきい値を超えた場合のエスカレーションによって、説明責任を強化します。また、投資、人員配置、または管理の変更がリスク軽減とパフォーマンスに最も大きな影響を与える場所を示すことで、意思決定を支援します。その他の選択肢は、標準的で監査可能な指標管理活動ではなく、サイバーセキュリティ測定プログラムで使用される確立されたライフサイクルを反映していません。