ビジネスインパクト分析（BIA）は、組織の使命、目標、および業務に対する混乱やインシデントの潜在的な影響を特定し評価するのに役立つプロセスです。BIAは、そのような混乱やインシデントを防止、軽減、または復旧するために実施されている管理策の有効性を検証するために定期的に実施する必要があります12。
CISMマニュアルによると、BIAは重要なシステムやプロセスについては少なくとも年に1回、重要でないシステムやプロセスについてはより頻繁に実施する必要があります3。また、新しい規制、テクノロジー、ビジネスモデル、利害関係者の期待など、組織の環境に大きな変化があった場合は、BIAを更新する必要があります3。BIAは、環境の変化に対する脆弱性の検証（A）、資産の重要性の分析（B）、規制への準拠の確認（©）に使用することはできません。これらはBIAの主な目的ではないためです。
参考文献: 1: IR 8286D、ビジネスインパクト分析を用いたリスクの優先順位付けと対応 | CSRC NIST 2: CISM ドメイン 4 プレビュー | BCP - ビジネスインパクト分析 (BIA) - YouTube 3: CISM 項目開発ガイド - ISACA

説明
セキュリティ管理者は、入手可能な情報に基づいて、まず同様のインシデントが発生する可能性を評価する必要があります。脆弱な技術の使用を中止することは、事業運営に必要となる可能性が高いため、必ずしも現実的ではありません。情報セキュリティ管理者がインシデントの影響を評価できるまでは、既に導入されている対策によって組織に影響がないと経営陣に報告するのは時期尚早です。調査が完了するまでは、同様のセキュリティ侵害が発生していないとは断言できません。