セクション: 情報セキュリティガバナンス
Explanation:
ポリシーは、組織のセキュリティ目標と期待を定義します。これらは、標準と手順の中でより具体的な用語で定義されます。標準は実行すべき内容を確立し、手順は実行方法を説明します。ガイドラインは、ビジネス管理者が管理領域内で実践を展開する際に考慮する必要がある推奨事項を提供するもので、裁量権を持ちます。

説明
組織内でリスク所有者を割り当てる主な理由は、リスクとその対応に対する説明責任を確保することです。リスク所有者とは、特定のリスクを管理し、適切なリスク対応措置を実施する権限と責任を持つ個人または団体です。リスク所有者を割り当てることで、組織はリスクが組織のリスク選好度と許容度に従って監視、報告、および制御されることを保証できます。
参考資料: CISM レビュー マニュアル 2023 では、リスク所有者を「リスクを管理する責任と権限を持つ個人または団体」と定義し、「リスク所有者は、リスクが企業のリスク選好度とリスク許容度と一致する方法で処理されることを保証する責任がある」と述べています (p. 93)。CISM レビュー問題、回答、および解説マニュアル 2023 では、この回答の根拠として次のことも示しています。「説明責任を保証することが正解です。なぜなら、リスク所有者を組織に割り当てる主な理由は、リスクとその処理が、それを行う権限と責任を持つ個人または団体によって管理されることを保証するためです」(p. 29)。さらに、ISACA ジャーナル 2019 の記事「リスク所有者: 効果的なリスク管理の第一歩」では、「リスク所有者は、効果的なリスク管理の最初で最も重要なステップです」と述べており、「リスク所有者は、各リスクに対する明確な説明責任と責任があり、リスク所有者がリスク決定を行い、リスク対応を実施する権限を持つことを保証します」(p. 1)。