リスクは、組織のリスク選好に基づいて、許容できるレベルまで削減する必要があります。リスクをゼロにすることは非現実的であり、コストがかかりすぎる可能性があります。リスクと収益の割合を結び付けることは、両者の間に直接的な相関関係がないため、お勧めできません。自然災害の容易さのように、リスク発生の可能性を減らすことは必ずしも可能ではありません。リスクの可能性を減らすことではなく、組織にとって許容できるレベルまで影響を減らすことに重点を置く必要があります。

セクション: インシデント管理と対応

説明
取締役会は、情報セキュリティガバナンスフレームワークの承認、およびその実装とパフォーマンスの監視を含む組織のガバナンスの最終的な責任を負います。参考文献 = CISMレビューマニュアル、第16版、ドメイン1：情報セキュリティガバナンス、第2章：情報セキュリティガバナンスフレームワークの確立と維持、セクション：上級管理職と取締役会の役割と責任1

リスクは通常、インシデントの発生確率は低いが影響が大きい場合に保険会社に移管されます。例としては、ハリケーン、竜巻、地震などがあります。対策を講じることは、セキュリティ管理に対する最も費用対効果の高いアプローチではない可能性があります。リスクを排除できない可能性があります。リスクを受け入れると、組織は壊滅的な災害に対して脆弱になり、組織が機能不全に陥ったり破滅したりするおそれがあります。組織が経済的に回復できない災害の影響を受けるよりも、定期的な保険費用を支払う方が費用対効果が高いでしょう。