説明/参照：
Explanation:
リスクを完全に排除することはできません。リスクを移転することで、保険会社がリスクを引き受けることができるように、保険を購入するなどのリスクを放棄します。追加の制御を実装することは、リスクを軽減する一例です。
リスクを軽減するために何もしないことは、リスクを受け入れる一例です。

説明/参照：
参照https://www.isaca.org/Journal/archives/2013/Volume-4/Pages/Leveraging-and-Securing-the-Bring-Your-Own-Device-and-Technology-Approach.aspx

セクション：情報セキュリティガバナンス
Explanation:
ベースライン標準を確立してから、特定の要件を満たす必要がある場所の追加標準を開発する方が効率的です。最小公分母を求めたり、業界のベストプラクティスを使用したりすると、特定の場所で規制への準拠が失敗する可能性があります。反対のアプローチ-すべての場所を規制に準拠させることは、それらの場所に過度の負担をかけます。

説明
情報資産の重要性と機密性は、脅威が資産の脆弱性を悪用する可能性の影響に依存し、資産の価値と価値の減損を考慮に入れています。脅威の評価では、情報資産がさらされている脅威のみが一覧表示されます。資産の価値や脅威が価値に与える影響は考慮されていません。脆弱性評価では、脅威を引き付ける可能性のある情報資産に固有の脆弱性のみが一覧表示されます。資産の価値や、認識された脅威が価値に与える影響は考慮されていません。リソース依存性評価はプロセスのニーズを提供しますが、影響はありません。

セクション：情報セキュリティガバナンス
Explanation:
新しい情報セキュリティ管理者は、彼らのサポートを求めるために、信頼関係を築き、上級管理職とのコミュニケーションの線を確立するよう努めるべきです。ピア組織のベンチマークは、業界のベストプラクティスをよりよく理解するために有益ですが、上級管理職のサポートを得ることに次ぐものです。同様に、セキュリティアーキテクチャを開発し、経験豊富なスタッフを集めることは、後で取得できる目標です。