説明
アプリケーションオーナーは、アプリケーションがビジネス要件と目標、およびセキュリティとコンプライアンス基準を満たしていることを保証する責任があるため、関連するタスクに対して主に責任を負います。アプリケーションオーナーは、セキュリティエンジニアを含むアプリケーションチームの役割と責任を定義し、アプリケーションの開発、テスト、展開、および保守を監督する人物でもあります。アプリケーションオーナーは、クラウドプロバイダーと協力してセキュリティ脆弱性に対処し、リスクを軽減する必要があります。情報セキュリティマネージャー、データオーナー、およびセキュリティエンジニアは、アプリケーションオーナーをサポートする役割と責任を担う場合がありますが、関連するタスクに対して主に責任を負いません。情報セキュリティマネージャーは、情報セキュリティプログラムを確立および維持し、それをビジネス目標と戦略に整合させる責任を負います。データオーナーは、データの分類、使用、および保護要件を定義する責任を負います。セキュリティエンジニアは、アプリケーションのセキュリティ制御と機能を実装およびテストする責任を負います。参照 = CISM Review Manual 2023、第 1 章、セクション 1.2.2、18 ページ。 CISMレビュー問題、解答、解説データベース - 12ヶ月購読、問題ID: 115。

セクション：情報リスク管理
Explanation:
リスク受容は、リスク軽減プロセスにおいて検討すべき選択肢の一つです。評価と査定は、リスク分析プロセスの構成要素です。リスク受容は、モニタリングの構成要素ではありません。

情報セキュリティポリシーとは、組織における情報セキュリティの目標と目的を定義し、セキュリティ制御とプロセスを実装および強制するための枠組みと方向性を提供する、高レベルの声明または規則です1。情報セキュリティポリシーは、組織のビジネス目標と目的に合致し、組織のリスク許容度とリスク耐性を反映する必要があります2。したがって、組織がどの情報セキュリティポリシーを実装すべきかを決定する上で最も役立つ活動は、リスク評価です。
リスク評価とは、組織が直面するリスクを特定、分析、評価し、適切なリスク対応策を決定する体系的なプロセスです3。リスク評価は、情報セキュリティポリシーの以下の側面を決定するのに役立ちます。
組織のセキュリティ目標および要件に影響を与える資産、脅威、脆弱性に基づいて、ポリシーの範囲と適用性を決定する。
リスクシナリオの発生確率と影響、およびリスク対応策の費用対効果分析に基づき、リスクを軽減するために必要なセキュリティ管理策およびプロセスのレベルと種類。
リスクの所有権と説明責任に基づき、政策の実施と執行に関わる利害関係者の役割と責任を定める。
リスク許容度とリスク耐性に基づいて、ポリシーの有効性と遵守状況を測定および監視するために使用される指標と尺度。
ビジネス影響分析（BIA）、脆弱性評価、業界のベストプラクティスといった他の選択肢は、組織がどの情報セキュリティポリシーを実施すべきかを判断する上で、リスク評価ほど役に立ちません。なぜなら、それらには次のような制約があるからです。
事業影響度分析（BIA）とは、組織の重要な事業機能やプロセスに対する障害やインシデントの潜在的な影響を特定・評価し、復旧の優先順位と目標を決定するプロセスです。BIAは、資産やプロセスの影響と重要度に関する情報を提供することでリスク評価を支援するのに役立ちますが、組織にリスクをもたらす脅威や脆弱性を特定・分析したり、適切なリスク対応策や管理策を決定したりすることはできません。
脆弱性評価とは、組織のシステム、ネットワーク、またはアプリケーションに存在する、攻撃者によって悪用される可能性のある弱点や欠陥を特定し、測定するプロセスです。脆弱性評価は、組織のセキュリティ体制に影響を与える脆弱性やリスクに関する情報を提供することで、リスク評価を支援するのに役立ちますが、脆弱性を悪用する可能性のある脅威やその可能性を特定または分析したり、適切なリスク対応策や対策を決定したりすることはできません。
業界のベストプラクティスとは、情報セキュリティコミュニティまたは組織の業界において、専門家や実務家の経験と知識に基づいて広く受け入れられ、遵守されている標準またはガイドラインのことです。業界のベストプラクティスは、情報セキュリティポリシーの策定と実施において参考となり、指針となりますが、組織固有の状況、ニーズ、目標を反映していない可能性があり、組織特有のリスクや課題に対応していない可能性があるため、リスク評価に取って代わるものではありません。
参照文献 = 1: CISMレビューマニュアル第15版、29ページ 2: CISMレビューマニュアル第15版、30ページ 3: CISMレビューマニュアル第15版、121ページ : CISMレビューマニュアル第15版、122ページ : CISMレビューマニュアル第15版、123ページ : CISMレビューマニュアル第15版、124ページ : CISMレビューマニュアル第15版、125ページ : CISMレビューマニュアル第15版、126ページ