組織における新たなリスクを評価する上で最大の課題は、脅威の特定が不完全であることです。新たなリスクは多くの場合、新規、未知、または馴染みのないものであり、十分に理解または評価されていない可能性があります。脅威の特定が不完全だと、リスク分析と管理にギャップが生じ、組織が予期せぬ、または準備不足のシナリオにさらされる可能性があります。リスクフレームワークの欠如、効果的なセキュリティ制御の欠如、既知の脆弱性の存在など、その他の選択肢は、新たなリスクに特有のものではなく、あらゆる種類のリスク評価に当てはまる可能性があります。参考文献：
* https://committee.iso.org/sites/tc262/home/projects/ongoing/iso-31022-guidelines-for-impl-2.html
* https://www.isaca.org/resources/news-and-trends/newsletters/atisaca/2023/volume-6/emerging-risk-analysis
* https://projectriskcoach.com/emerging-risks/

説明／参考資料：
Explanation:
侵入検知システム（IDS）の最も重要な機能は、ネットワークに対する潜在的な攻撃を特定することです。攻撃がどのように行われたかを特定することは二次的なものです。IDSは、ネットワークセキュリティの脆弱性を特定したり、不審なログオン試行のパターンを特定したりすることを目的としたものではありません。

災害復旧活動のアウトソーシング契約に含めるべき最も重要な事項は、復旧時間目標（RTO）です。RTOとは、災害や障害発生後に重要な業務プロセスや情報システムを復旧させるべき最大許容時間枠のことです。RTOは、事業影響度分析（BIA）とリスク評価に基づいており、組織の事業継続要件と期待を反映しています。アウトソーシング契約にRTOを含めることで、組織はサービスプロバイダーが合意されたサービスレベルを満たし、災害発生時のダウンタイムと損失を最小限に抑えることを認識し、それに尽力していることを確認できます。その他のオプションはRTOほど重要ではありませんが、災害復旧サービスの範囲と性質によっては、アウトソーシング契約に含めることが適切で有用な場合もあります。参考文献：CISMレビューマニュアル第15版、2471ページ、CISMレビュー問題集、解答、解説データベース - 12ヶ月購読、問題ID：1033