説明
ポリシーと標準は、一般的に、より静的で、頻繁に変更される可能性が少ない必要があります。一方、特にオペレーティングシステムの強化に関する手順は、絶えず変更される可能性があります。オペレーティングシステムが変化し進化するにつれて、強化の手順はペースを維持する必要があります。

セクション：情報セキュリティプログラムの管理

説明
リスクの受容は定期的に見直され、最初のリスク受容の論理的根拠が現在のビジネスコンテキスト内で依然として有効であることを確認する必要があります。初期リスクの受け入れの論理的根拠は、変更およびにより有効でなくなる可能性があります。したがって、リスクを恒久的に受け入れることはできません。リスクはビジネスの本質的な部分であり、すべてのリスクを排除することは非現実的で費用がかかります。受け入れられたリスクでさえ、元の決定を変える可能性のある条件の変化を監視する必要があります。

説明/参照：
Explanation:
リスクは常に変化しています。選択肢Dは、妥当な時間枠を考慮し、重要な変更に柔軟に対応できるため、最良の選択肢を提供します。重要な変更が行われた場合、年に1回リスク評価を実施するだけでは不十分です。重要なプロセスについて3〜6か月ごとにリスク評価を実施する必要がない場合や、重要な変更にタイムリーに対処できない場合があります。外部の関係者が評価を行う必要はありません。