影響を受けたネットワークセグメントを分離することで、差し迫った脅威を軽減しながら、影響を受けていない業務部分は処理を継続できます。すべてのネットワークアクセスポイントを遮断すると、サービス拒否攻撃が発生し、収益の損失につながる可能性があります。イベントログをダンプし、トレースログを有効にすることは有用かもしれませんが、ネットワーク攻撃による差し迫った脅威を軽減することはできません。

情報セキュリティ管理者にとって、リスクの影響を通常のメトリクスの一部として含めることは、多くのユーザー ワークステーションにパッチが適用されていないバージョンのソフトウェアが存在することに関連するリスクを上級管理者に理解してもらうための最善の方法です。これは、ビジネス目標とパフォーマンス指標の観点から、そのようなリスクの潜在的な結果と発生可能性を定量化して伝えることになるためです。セキュリティ運営委員会にレビューの実施を推奨するのは、リスクまたはその影響に関する具体的な情報や分析を提供しないため、良い方法ではありません。リスク評価を定期的に更新するのも良い方法ではありません。上級管理者がリスクまたはその影響を認識し、それを確実に把握しているわけではないためです。上級管理者に定期的な通知を直接送信するのも良い方法ではありません。煩わしいと感じられ、リスクまたはその影響の重大性や緊急性が伝わらない可能性があるためです。参考：https://www.isaca.org/resources/isaca-journal/issues/2015/volume-6/measuring-the-value-of-information-security-investments https://www.isaca.org/resources/isaca-journal/issues/2017/volume-3/how-to-measure-the-effectiveness-of-your-information-security-management-system

セクション: 情報リスク管理