このようなインシデントが発生した場合の重要なステップは、損失を最小限に抑えるために報告することです。その後、他のアクションを実行する必要があります。

説明
情報セキュリティ マネージャーが、組織のホスト型給与サービス プロバイダーでのデータ侵害をマスメディアで知った後、最初に行うべきことは、プロバイダーに侵害を検証することです。つまり、プロバイダーに直接連絡して、侵害が発生した時期、侵害されたデータ、プロバイダーが影響を軽減するために講じている措置など、侵害の詳細と範囲を確認します。プロバイダーに侵害を検証することで、情報セキュリティ マネージャーは状況を正確に評価し、それに応じて次のステップを計画することができます。データ交換の停止、規制当局への通知、事業継続計画の開始などの他のオプションは、プロバイダーに侵害を検証する前に行うのは時期尚早または不必要である可能性があります。参考資料:
* https://www.wired.com/story/sequoia-hr-data-breach/
* https://cybernews.com/news/kronos-major-hr-and-payroll-service-provider-hit-with-ransomware-warns-of
* https://www.afr.com/work-and-careers/workplace/pay-in-crisis-as-major-payroll-company-hacked-202111

説明
リスク レジスターの未解決項目に関して上級管理職に伝える最も重要な情報は、これらのリスクの潜在的なビジネス インパクトです。潜在的なビジネス インパクトとは、リスクが実現または発生した場合に組織が被る可能性があると推定される結果または損失です。潜在的なビジネス インパクトは、財務、運用、評判、法律、戦略など、定量的または定性的な用語で表現できます。リスク レジスターの未解決項目の潜在的なビジネス インパクトを伝えることで、上級管理職はこれらのリスクの重大性と緊急性を理解し、それに応じてリスク対応アクションとリソースの優先順位を付けることができます。また、潜在的なビジネス インパクトを伝えることで、上級管理職はリスク管理の目的と活動をビジネス目標と戦略に合わせ、組織のリスク選好と許容度が尊重され、維持されるようにすることができます。
参考文献 = CISM レビュー マニュアル、第 16 版、第 2 章: 情報リスク管理、セクション: リスク評価、831 ページ; CISM レビュー マニュアル、第 16 版、第 2 章: 情報リスク管理、セクション: リスク報告、1012 ページ。