セクション: 情報リスク管理
Explanation:
リスクは、組織のリスク選好に基づいて許容レベルまで低減する必要があります。リスクをゼロにすることは現実的ではなく、コストが法外に高くなる可能性があります。リスクを収益の一定割合に結び付けることは、両者の間に直接的な相関関係がないため、推奨されません。自然災害の発生確率を低減することは、必ずしも可能とは限りません。リスクの発生確率を低減することではなく、組織にとって影響を許容レベルまで低減することに重点を置くべきです。

リスク管理は、情報セキュリティプログラムの有効性にとって最も重要な要素です。組織の目標に影響を与える可能性のある情報セキュリティリスクを特定、評価、対処、監視するための体系的かつ一貫したアプローチを提供するからです。また、リスク管理は、セキュリティプログラムをビジネス戦略と整合させ、セキュリティ対策とリソースの優先順位付けを行い、セキュリティの価値をステークホルダーに伝える上でも役立ちます。
参照 = CISMレビューマニュアル2022、3071ページ、CISM試験内容概要、ドメイン4、知識ステートメント4.1

セクション: 情報セキュリティガバナンス
説明

説明
情報セキュリティポリシーは、高水準のステートメントであるため、簡潔で理解しやすいものでなければなりません。高水準であるため、ネットワークの脆弱性や違反の通知プロセスに直接言及するものではありません。ポリシーとして、すべてのグループとユーザーロールに一貫したメッセージを提供する必要があります。