説明
インシデントの可能性は低いが影響が大きい場合、通常、リスクは保険会社に移転されます。例としては、ハリケーン、竜巻、地震などが挙げられます。対抗策の導入は、セキュリティ管理において最も費用対効果の高いアプローチではない可能性があります。リスクを排除することは不可能かもしれません。
リスクを受け入れると、組織が麻痺したり破滅したりする壊滅的な災害に対して脆弱なままになります。組織が財政的に回復できない災害の影響を受けるよりも、定期的な保険費用を支払う方が費用対効果が高くなります。

説明/参照:
Explanation:
復旧期間の長さは経営管理によって定義され、災害から重要なサービス/アプリケーションの復旧までの許容可能な時間枠が決まります。ディザスタ リカバリ (DR) サイトの技術的な実装は、この制約、特にホット サイト、ウォーム サイト、またはコールド サイトの選択に基づいて行われます。サービス提供目標は、ビジネス ニーズに直接関係する通常の状況が復元されるまで、代替プロセス モード中にサポートされます。目標復旧時間 (RTO) は、災害が発生してから通常の運用に戻るまでの時間枠であると一般的に合意されています。この場合、中断ウィンドウよりも長くなり、事前に見積もることが非常に困難になります。中断期間終了時の縮小運用モードから通常運用に戻るまでの時間枠は、災害の規模によって異なります。技術的な災害復旧ソリューションだけを使用して通常の運用に戻すことはできません。最大許容停止時間 (MTO) は、縮小モードで運営している企業が損失を経験するまでに許容できる最大時間です。理論的には、目標復旧時間 (RTO) は、中断時間帯と最大許容停止時間の合計に等しくなります。これは、技術的な災害復旧ソリューションを選択する際の主な要素ではありません。

費用対効果の分析結果は、提案されたセキュリティへの取り組みやプロジェクトの価値と投資収益率を実証するのに役立つため、情報セキュリティ予算の増加に関するビジネスケースをサポートする最良の方法です。費用対効果分析は、定量的要因と定性的要因の両方を考慮して、さまざまな代替案やオプションのコストと利点を比較する方法です。費用対効果分析は、セキュリティ予算の必要性と実現可能性を正当化し、予想される結果と影響に基づいてセキュリティ支出の優先順位を付けるのに役立ちます。したがって、費用対効果分析の結果は正解です。
参照：
https://www.cisa.gov/resources-tools/resources/business-case-security
https://www.cisa.gov/resources-tools/resources/isc-best-practices-making-business-case-security
https://risk3sixty.com/2020/09/21/how-to-build-a-business-case-for-security-initiatives-part-4/