説明
上級管理職は、ビジネス全体のニーズを考慮して決定を下すため、仲裁を行うのに最適な立場にあります。上級管理職は、問題とセキュリティ推奨事項を検討した後、他の者に権限を委譲することができます。上級管理職からの意見を事前に受けずに、各部門にリスクを受け入れるよう求めるべきではありません。

説明
= リスクの特定は、IT リスク管理プロセスにおける最初で最も重要なステップです。特に、組織がデジタル変革を進め、新しいテクノロジー、プロセス、ビジネス モデルを導入している場合はなおさらです。リスクの特定には、組織の目標、資産、利害関係者に影響を及ぼす可能性のある IT 関連リスクの発生源、原因、潜在的な結果の特定が含まれます。リスクの特定は、その後のリスク分析、評価、および処理のためのリスクのコンテキスト、範囲、および基準を確立するのにも役立ちます。リスクを特定しないと、情報セキュリティ マネージャーは、リスクの露出を効果的に評価したり、リスクに優先順位を付けたり、適切な制御を実装したり、リスク パフォーマンスを監視したり、リスク情報を関係者に伝達したりすることができません。
参考文献 = CISMレビューマニュアル、第16版、第2章：情報リスク管理、セクション：リスク識別、841ページ; CISMレビュー問題、解答および解説マニュアル、第10版、質問
34、352ページ。

リスクを適切に軽減する予防的管理が実行不可能な場合、情報セキュリティ マネージャーにとって最も重要なアクションは影響の管理です。つまり、リスクの結果の可能性または重大性を軽減する対策を講じるということです。影響の管理には、エンジニアリング、管理、または個人保護などの代替コントロールの使用が含まれ、組織への露出または損害を軽減できます。許容できないリスク レベルの特定、脆弱性の評価、潜在的な脅威の評価などのその他のオプションは、リスク評価プロセスの一部ですが、予防的管理が実行不可能な場合にリスクを軽減するためのアクションではありません。参照:
https://bcmmetrics.com/risk-mitigation-evaluating-your-controls/
https://www.osha.gov/safety-management/hazard-prevention
https://www.cdc.gov/niosh/topics/hierarchy/default.html

説明
セキュリティをビジネス促進要因として位置付けることは、情報セキュリティ プログラムに対する組織全体のサポートを得るための最良の方法です。セキュリティが組織の戦略目標、パフォーマンス、評判にもたらす価値とメリットを示すのに役立つからです。セキュリティをビジネス目標やニーズに合わせることで、情報セキュリティ マネージャーは上級管理職やその他の関係者の賛同とコミットメントを獲得し、組織全体で前向きなセキュリティ文化を育むことができます。
参考文献
CISM レビュー マニュアル、第 16 版、ISACA、2020 年、37 ページ: 「情報セキュリティ マネージャーは、情報セキュリティを、企業のビジネス目標の達成をサポートし、企業に付加価値をもたらすビジネス イネーブラーとして位置付ける必要があります。」 CISM レビュー マニュアル、第 16 版、ISACA、2020 年、39 ページ: 「情報セキュリティ マネージャーは、情報セキュリティの価値と利点を上級管理職やその他の利害関係者に伝え、情報セキュリティ プログラムに対する彼らのサポートとコミットメントを得る必要があります。」 CISM レビュー マニュアル、第 16 版、ISACA、2020 年、40 ページ: 「情報セキュリティ マネージャーは、従業員やその他の関係者の情報セキュリティに対する行動や態度に影響を与えることで、企業内で前向きなセキュリティ文化を促進する必要があります。」