リスク選好度（C）は、組織が目標達成のために許容できるリスクのレベルを定義するため、情報セキュリティフレームワークの設計に最も役立ちます。CISMは、セキュリティフレームワーク、ポリシー、および管理構造をビジネスリスク許容度と整合させ、過剰保護や保護不足を回避する必要があることを強調しています。監査結果（A）はギャップを明らかにし、コスト（B）は実現可能性に影響を与え、利用可能なスキル（D）は実装に影響を与えますが、いずれも必要な戦略的保護レベルを定義するものではありません。リスク選好度は、フレームワークがビジネス目標をサポートし、リソースを適切に優先順位付けし、組織全体の意思決定のための一貫したガイダンスを提供することを保証します。
参考資料: ISACA CISM レビュー マニュアル (ガバナンス - リスク アペタイト、フレームワーク設計)、CISM 試験コンテンツ アウトライン (ドメイン 2)。

説明
ホワイトボックスコントロールテストと比較して、ブラックボックスコントロールテストを実施する主な利点は、現実世界の攻撃をシミュレートできることです。ブラックボックスコントロールテストは、テスターがアプリケーションの内部設計を十分に理解することなく、アプリケーションの機能を分析するソフトウェアテスト手法です。一方、ホワイトボックスコントロールテストでは、テスターはアプリケーションの内部設計を十分に理解しており、テスト中にそれを分析します。ブラックボックスコントロールテストを実施することで、テスターはアプリケーションのソースコードや実装の詳細にアクセスできない外部攻撃者の視点や行動を模倣できます。
このようにして、テスターはアプリケーションがさまざまな入力やシナリオにどのように応答するかを評価し、機能やセキュリティに影響を与える可能性のある脆弱性やエラーを特定できます。その他のオプションは、ブラックボックス制御テストを実行する主な利点ではありませんが、状況によってはメリットにもデメリットにもなり得ます。潜在的な本番環境の問題が少なくなるということは必ずしも真実ではありません。ブラックボックス制御テストは、慎重に実行しないと、アプリケーションにエラーや中断をもたらす可能性があります。IT スタッフの準備が少なくて済むということは必ずしも真実ではありません。ブラックボックス制御テストでは、十分なテスト範囲と品質を確保するために、依然として多くの計画とドキュメント化が必要になる場合があるからです。より多くの脅威を特定できるということは必ずしも真実ではありません。ブラックボックス制御テストでは、アプリケーションの内部ロジックや構造に隠れている脅威を見逃す可能性があるからです。

セクション: 情報セキュリティプログラム管理
Explanation:
アクセスと承認はビジネスニーズに基づいて行う必要があります。データ管理者は、データ所有者の決定を実行します。アクセスと承認は、既存のユーザーアカウントを複製したり、階層的な設定を決定したりして割り当てるべきではありません。複製を行うことで、ユーザーは業務に必要な以上のアクセス権や権限を取得してしまう可能性があります。階層的な設定は、ビジネスニーズではなく、個人の好みに基づいて行うことができます。