組織がサイバー攻撃の増加によるリスクを軽減するための最善の対応策は、リスクを再検証し、許容可能なレベルまで軽減することです。これは、組織が現在のリスクプロファイルを見直し、新たな脅威、脆弱性、影響を特定し、既存の制御策と対策の有効性を評価する必要があることを意味します。この分析に基づいて、組織は、望ましいリスク許容度とリスク耐性を達成するために、リスクの回避、移転、受容、軽減などの適切なリスク処理戦略を実施する必要があります。また、組織は、リスク状況と実施済みの制御策を定期的に監視および見直し、それに応じてリスク管理計画を更新する必要があります。このアプローチは、ITリスク管理をビジネス目標と価値に整合させる方法に関するガイダンスを提供するISACAリスクITフレームワークと一致しています12。
他の選択肢は、範囲が狭すぎたり、事後対応的すぎたりするため、最善の対応策とは言えません。インシデント対応チームの予算と人員を増やすことで、サイバー攻撃への対応能力と復旧能力は向上するかもしれませんが、攻撃の根本原因や予防策には対処できません。
侵入検知システム（IDS）を導入することで、組織の検知・分析能力は向上する可能性がありますが、攻撃からの保護や軽減を保証するものではありません。事業継続計画（BCP）のテストは、サイバー攻撃が発生した場合に組織が重要な業務を継続するための準備と回復力を検証できますが、攻撃の可能性や影響を軽減するものではありません。参考文献 = Risk IT Framework 1 CISM Review Manual、第16版 | 印刷版 | 英語 2、第3章：情報リスク管理、97ページ-
98、103-104、107-108、111-112。

セクション：情報リスク管理
Explanation:
リスク評価は、脆弱性が悪用された場合のビジネスへの影響を特定するものであり、したがって適切なプロセスです。侵入テストやセキュリティベースラインレビューでは脆弱性を特定できるかもしれませんが、その対策は特定できません。ビジネス影響分析（BIA）は、メールサーバーの停止による影響をより的確に特定できるでしょう。

説明
情報セキュリティ管理者が潜在的な脅威を認識した際に最初に行うべきことは、情報の妥当性を検証することです。これには、脅威を調査して組織への潜在的な影響を評価し、脅威インテリジェンスの正確性を判断することが含まれます。情報が検証されたら、情報セキュリティ管理者は、上級管理職への報告、情報セキュリティ監査の実施、ギャップ分析の実施など、適切な措置を講じることができます。

説明
ビジネスに整合した情報セキュリティ プログラムとは、組織のビジネス目標をサポートし、情報セキュリティ戦略をビジネス機能と整合させるプログラムのことです。ビジネス影響分析 (BIA) は、組織の重要なビジネス プロセス、資産、および機能を特定し、中断または損失が発生した場合の潜在的な影響を評価するプロセスです。BIA は、組織の重要な資産と機能をさまざまな脅威やリスクから保護するために必要な情報セキュリティ要件と制御の優先順位付けに役立ちます。したがって、BIA は、ビジネスに整合した情報セキュリティ プログラムを計画する際に最も有用な情報源の 1 つです。参照 = CISM レビュー マニュアル第 15 版、254 ページ、CISM レビュー問題、回答、および説明データベース - 12 か月購読、QID 229。ビジネスに整合した情報セキュリティ プログラムを計画する際に最も有用な情報源は、ビジネス影響分析 (BIA) です。BIA は、組織の業務の中断の潜在的な影響を特定および評価するプロセスであり、これらの中断の影響を軽減するために実装すべきセキュリティ制御と対策を特定するのに役立ちます。 BIA（事業影響度分析）には、組織の情報セキュリティ体制の評価を含めるべきであり、これにはセキュリティポリシー、リスクレジスター、エンタープライズアーキテクチャなどが含まれる。これらの情報に基づいて、組織は事業目標に合致した情報セキュリティプログラムを策定することができる。