リスク評価は、脅威、可能性、既存の制御を非常に高いレベルで理解する上で、経営陣にとって最も役立ちます。セキュリティ アーキテクチャの開発、ネットワーク侵入検知システム (NIDS) のインストール、ネットワークへの攻撃リストの作成、ネットワーク セキュリティ ポリシーの開発は、経営陣に重要性を強調するのにそれほど効果的ではなく、リスク評価を実行した後にのみ行われます。

セクション: 情報セキュリティガバナンス
Explanation:
ビジネス ケースには、必要な投資と期待される収益に加えて、直接的および間接的なメリットの両方が示されるため、上級管理職に提示する際に役立ちます。投資収益率 (ROD) では、特定のリスクを回避するために必要なコストのみが示され、プロセスの改善や学習などのその他の間接的なメリットは示されません。脆弱性評価は、より技術的な性質を持ち、脆弱性のみを識別して評価します。これも間接的なメリットに関する洞察を提供しません。年間損失予測 (ALE) では、シングル サインオン (SSO) を実装する利点と実装コストを比較することはできません。