リスク評価の結果は、情報セキュリティへの投資を正当化するビジネスケースを作成する際に、経営陣が情報に基づいた意思決定を行うのに最適です。リスク評価は、組織の資産とプロセスに影響を与える脅威と脆弱性、および潜在的な影響と発生の可能性を特定し、優先順位を付けるのに役立ちます。リスク評価は、リスクを軽減するための管理の有効性を選択および評価するための基礎も提供します。CISA によれば、セキュリティのビジネス ケースの開発は、組織の脆弱性、運用上の優先順位、投資収益率についての深い理解に基づいて行われます1。情報セキュリティ戦略、セキュリティインシデントによる損失、業界におけるセキュリティ投資の傾向は、リスク評価のインプットまたはアウトプットとして考えられますが、上級管理職による十分な情報に基づいた意思決定を可能にするためには十分ではありません。参考資料: 1: セキュリティのビジネス ケース - CISA 2: セキュリティのビジネス ケース | CISA 3: #HowTo: サイバーセキュリティ投資のビジネス ケースを構築する 4: 情報セキュリティのビジネス ケースを作成する

セクション: 情報セキュリティ プログラム管理