説明
リスクレジスターとは、組織が直面する情報セキュリティリスク（発生源、影響、発生可能性、対応、状況など）を記録・追跡する文書です。リスクレジスターは、内部および外部の脅威、そしてそれらが組織の資産、プロセス、目標に及ぼす現在および潜在的な影響を網羅するため、組織が直面する継続的な脅威に関する最も包括的な洞察を提供します。また、リスクレジスターは、リスク軽減策と管理策の優先順位付けと監視、そして関連する利害関係者へのリスク情報の伝達にも役立ちます。したがって、選択肢Bが最も適切な回答です。
オプションAは最適な回答ではありません。ビジネス影響分析（BIA）は、組織の重要なビジネス機能、資産、依存関係を特定・評価し、混乱や損失が発生した場合の潜在的な影響を評価するプロセスであるためです。BIAは、脅威の発生源、発生確率、対応策よりも、脅威の影響に焦点を当てているため、組織が直面している継続的な脅威に関する包括的な洞察を提供するものではありません。BIAは、情報セキュリティリスク管理ではなく、主に事業継続性と災害復旧計画の支援に使用されます。
オプションCは最適な回答ではありません。ペネトレーションテストは、組織のITシステムまたはネットワークに対する悪意のある攻撃をシミュレートし、セキュリティ体制を評価し、実際の攻撃者に悪用される可能性のある脆弱性や弱点を特定する手法であるためです。ペネトレーションテストは、脅威、発生源、影響の全範囲ではなく、特定の範囲、対象、シナリオのみを対象とするため、組織が直面している継続的な脅威に関する包括的な洞察を提供するものではありません。ペネトレーションテストは、情報セキュリティリスク管理ではなく、主に技術的なセキュリティ管理の検証と改善に使用されます。
オプション D は最適な回答ではありません。脆弱性評価は、組織の IT システムまたはネットワークをスキャンして分析し、セキュリティリスクをもたらす可能性のある欠陥やギャップを検出して報告するプロセスであるためです。
脆弱性評価は、脅威の技術的側面のみを対象とし、ビジネス、法的、または規制上の影響については考慮しないため、組織が直面している継続的な脅威に関する包括的な洞察を提供するものではありません。脆弱性評価は、情報セキュリティリスク管理ではなく、主にセキュリティ上の弱点を特定し、修正するために用いられます。参考文献：CISMレビューマニュアル第15版、258～259ページ；CISMレビュー問題、解答、解説データベース - 12ヶ月サブスクリプション、QID 306。
リスクレジスターは、組織が直面する継続的な脅威に関する最も包括的な洞察を提供します。これは、リスクレジスターが、特定されたリスク、その発生可能性、影響、軽減戦略、および状況を記録・追跡する文書であるためです。リスクレジスターは、組織が目標、資産、および業務に影響を与える可能性のある脅威を監視・管理するのに役立ちます。また、リスクレジスターは、組織が対応策の優先順位を決定し、それに応じてリソースを割り当てるのにも役立ちます。

災害復旧計画（DRP）のウォークスルーは、災害シナリオをシミュレートし、参加者に役割と責任、そして計画実行に必要な手順とリソースを確認させることで、計画をテストする方法です。ウォークスルーは、計画のギャップ、エラー、矛盾を特定して解決するのに役立つだけでなく、復旧プロセスに関わる関係者の認識と準備を強化するため、DRPの実行能力に最も大きなプラスの影響を与えます。参考文献：CISMレビューマニュアル、第16版、第5章、セクション5.3.2.21

誤検知の減少は、組織の侵入防止システム (IPS) が業務運営を繰り返し妨害するかもしれないという上級管理者の懸念に対処するために情報セキュリティ管理者がシステムを調整したことを示す最良の指標です。誤検知とは、IPS が正当なトラフィックまたはアクティビティを誤ってブロックし、妨害またはダウンタイムを引き起こしたときに生成されるアラートです。誤検知の減少は、そのようなエラーを減らし、不要な中断を最小限に抑えるように IPS が設定されていることを意味します。誤検知の増加は、IPS が悪意のあるトラフィックまたはアクティビティを検出またはブロックできず、侵害または損害のリスクが高まっていることを意味するため、良い指標ではありません。誤検知の減少は、業務運営に影響せず、セキュリティの検出または防止を改善するため、良い指標ではありません。誤検知の増加は、IPS のエラーと中断が増加し、上級管理者の懸念が悪化していることを意味するため、良い指標ではありません。参考：https://www.isaca.org/resources/isaca-journal/issues/2017/volume-6/the-value-of-penetration-testing https://www.isaca.org/resources/isaca-journal/issues/2016/volume-5/security-scanning-versus-penetration-testing